漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-04333
漏洞标题：1分钟内KO掉360手机卫士的防盗功能
相关厂商：奇虎360
漏洞作者： Jian(64bit)
提交时间：2012-02-08 21:11
修复时间：2012-03-24 21:12
公开时间：2012-03-24 21:12
漏洞类型：非授权访问/认证绕过
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-02-08： 细节已通知厂商并且等待厂商处理中
2012-02-09： 厂商已经确认，细节仅向厂商公开
2012-02-12： 细节向第三方安全合作伙伴开放
2012-04-04： 细节向核心白帽子及相关领域专家公开
2012-04-14： 细节向普通白帽子公开
2012-04-24： 细节向实习白帽子公开
2012-03-24： 细节向公众公开
简要描述：
这两天一直再搞手机安全卫士 看了几个都存在大大小小的漏洞 不幸的是360安全卫士也在其中了 为了证明这个洞的存在 手机都快挂了 我那可怜的安卓手机 ：（
其实一直在用360手机卫士 挺好用的 希望能快速修复。
详细说明：
打开360手机管家软件进入防盗设置 首先设置安全手机号码为13800000000如下图
用re管理器打开/data/data/com.ghqihoo360.mobilesafe/shated_prefs目录找到com.qihoo360.mobilesafe_preferences.xml 编辑com.qihoo360.mobilesafe_preferences.xml 如下图
将13800000000修改为13888888888保存。再次打开360手机管家软件进入防盗设置 修改防盗设置安全手机号码为13888888888.
漏洞证明：
打开360手机管家软件进入防盗设置 首先设置安全手机号码为13800000000如下图
用re管理器打开/data/data/com.ghqihoo360.mobilesafe/shated_prefs目录找到com.qihoo360.mobilesafe_preferences.xml 编辑com.qihoo360.mobilesafe_preferences.xml 如下图
将13800000000修改为13888888888保存。再次打开360手机管家软件进入防盗设置 修改防盗设置安全手机号码为13888888888.
修复方案：
希望360能早日修复此漏洞
版权声明：转载请注明来源 Jian(64bit)@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2012-02-09 16:25
厂商回复：
防盗安全号码的设置和配置文件处理欠妥。在破解（root）后的手机上，手机操作系统的防护已被破坏，同时用户并未启用防盗功能，因此并非安全漏洞。目前各安全厂商的做法都基本相同或类似。我们会在原有的防护基础上提高和加强对配置文件的保护，并尽快更新版本。
最新状态：
暂无
漏洞评价：
评论
-
厂商靠谱啊 解释最详细了 呵呵
( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)