当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-05088

漏洞标题：陌陌明文提交注册信息明文传输

相关厂商：北京陌陌科技有限公司

漏洞作者： 打酱油的

提交时间：2012-03-08 11:13

修复时间：2012-03-08 11:13

公开时间：2012-03-08 11:13

漏洞类型：用户敏感数据泄漏

危害等级：低

自评Rank：5

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-03-08： 积极联系厂商并且等待厂商认领中，细节不对外公开
2012-03-08： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

陌陌是北京陌陌科技有限公司推出的一款基于地理位置的移动社交产品。其登录认证使用了明文传输用户ID和密码。

详细说明：

陌陌是北京陌陌科技有限公司推出的一款基于地理位置的移动社交产品。其登录认证使用了明文传输用户ID和密码。

漏洞证明：

Send:

POST /api/checkaccount HTTP/1.1
User-Agent: MomoChat/1.11build Android/12 (LT18i; Android 2.3.4; zh_CN)
Content-Length: 249
Content-Type: application/x-www-form-urlencoded
Host: www.immomo.com:80
Connection: Keep-Alive
uid=85dab7d268769df46abe111a82976931&phone_netWork=2&screen=480x854&model=LT18i&rom=2.3.4&phone_type=GSM&device_type=android&account=xxxxxx&mac=5c%3Ab5%3A24%3A09%3Ae1%3A58&market_source=1&buildnumber=4.0.2.A.0.58%2Fxf_v3w&password=xxxxxx&version=12


account和password字段我用xxxxxx代替了 ^_^
Response:

HTTP/1.1 200 OK
Server: nginx/1.0.12
Date: Wed, 07 Mar 2012 02:03:55 GMT
Content-Type: text/plain; charset=utf-8
Transfer-Encoding: chunked
Connection: keep-alive
X-Powered-By: PHP/5.3.10
Cache-Control: max-age=0
9f
{"ok":true,"momoid":"xxxxxx","email":"xxxxx@xxxx.com","name":"\u6d4
1\u6d41","session":"8857DA0B-9F98-B19B-8A8D-29CA3750A850","server":"","port":0}
0


修复方案：

无

版权声明：转载请注明来源 打酱油的@乌云

漏洞回应

厂商回应：

危害等级：暂时无回应

漏洞Rank：4

确认时间：2012-03-08 11:13

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2012-03-08 11:50 | king ( 路人 | Rank:15 漏洞数:2 | 喜爱安全，网络游戏安全应用漏洞挖掘)

    老兄，这不能代表是不是具备明文的哦，，也许人家在程序内部是有加密，当然你说这种传输有明文的记录，安全系数不会太大的影响吧,始终安全这种东西，不要把所有的东西都严格就办，安全工作者更多的是如何去协调这些东西，而不是单纯的爆一个漏洞这么简单

  2. 2012-03-08 13:57 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)

    相关漏洞关联：（1） WooYun: 手机QQ浏览器严重漏洞-（HTTP明文协议） （2） WooYun: UCWEB浏览器密码泄漏隐患

  3. 2012-03-09 11:38 | 凤凰 ( 路人 | Rank:15 漏洞数:6 | 涅磐)

    @king 正解！不过对于社交类应用，会涉及现实，所以要多关注。估计这也是乌云评分的理由吧

  4. 2012-03-09 14:09 | 打酱油的 ( 路人 | Rank:4 漏洞数:1 | ......)

    第一次来，不太了解这里的规矩，但还是听不明白你们的话，可能是我描述里面不清楚吧，陌陌里面登录的时候你抓包就可以发现，用户ID和Password都是明文传输的，直接拿来是可以登录的。应该算是漏洞吧，当然，肯定风险级别很低，所以，我自评分也很低啊，有什么问题呢？是不是QQ如果登录是明文传输就是漏洞了？不过无所谓，我就是一个打酱油的。