当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-032745

漏洞标题:Android应用代码安全之新浪微博HD

相关厂商:新浪

漏洞作者: 墨水心_Len

提交时间:2013-07-30 07:56

修复时间:2013-09-13 07:56

公开时间:2013-09-13 07:56

漏洞类型:设计缺陷/逻辑错误

危害等级:中

自评Rank:10

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-07-30: 细节已通知厂商并且等待厂商处理中
2013-07-30: 厂商已经确认,细节仅向厂商公开
2013-08-09: 细节向核心白帽子及相关领域专家公开
2013-08-19: 细节向普通白帽子公开
2013-08-29: 细节向实习白帽子公开
2013-09-13: 细节向公众公开

简要描述:

前两天逛微博看到有人拿那些未知或叫他"只有他"自个儿知道的漏洞去压着厂商说事儿。个人觉得这么做已脱离了白帽子的本质。或许也有个人道德问题吧(该段儿与新浪无关哈)。
新浪估计把这个给漏掉了。

详细说明:

classes.dex 是应用程序编译后的java文件,其中包含了所有activity编译后的code。我们可以通过反编译这个文件从而获取该应用源码(说明下如果在没有经过代码混淆或加固的情况下源码相似度98%)。
其实很简单,相信很多童鞋看到这标题就已经心知肚明了(为了顺利通过审核我就多唠叨下)。
所需工具 dex2jar 和 JD GUI,在win下的童鞋点这里

http://t.cn/zQJBedo  (41wb)


步骤
1、apk文件后缀改为rar,解压获取classes.dex文件;
2、将classes.dex放于dex2jar文件目录,然后使用dex2jar.bat反编译。
3、所得的Jar文件用JD GUI打开。

漏洞证明:

dex2jar.bat classes.dex


dex2jar classes.dex .png


打开后看到没有丝毫代码混淆加固的迹象(随手又试了两个新浪的app,结果是否定的。估计把这个给漏掉了)。考虑到机密问题这里细节图就只上一张了。

weibo_HD.png

修复方案:

虽不能完全避免反编译来的伤害,但基本的代码混淆还是要的,毕竟google老早已给咱们预留好这功能了,照着weibo app来吧。
如有好的解决方案,欢迎交流。
顺便求公仔 …

版权声明:转载请注明来源 墨水心_Len@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:6

确认时间:2013-07-30 16:11

厂商回复:

感谢关注新浪安全,已安排人员进行修复。

最新状态:

暂无


漏洞评价:

评论

  1. 2013-08-31 22:03 | ACGT ( 实习白帽子 | Rank:32 漏洞数:4 | another script kiddie)

    又没泄露敏感信息,怎么算漏洞呢?google play上至少90%的app没混淆

  2. 2013-09-04 11:50 | 学习乌云 ( 实习白帽子 | Rank:95 漏洞数:14 | 学习ing...)

    @ACGT 同意!这就是wooyun的问题,没有严格的漏洞定义标准,啥都可以报。。

  3. 2013-09-04 12:01 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @学习乌云 漏洞本来每个人都有各自的理解和定义,建议业界不要有规范这一说,如果有不同的意见可以进行讨论

  4. 2013-09-07 11:47 | 墨水心_Len ( 实习白帽子 | Rank:70 漏洞数:15 | PKAV技术宅 | 每一个有文化的东西,我们都...)

    @ACGT 源码啊大哥?... 不讨论这个 @学习乌云 @xsser 一块儿来看这个吧:) http://drops.wooyun.org/papers/548

  5. 2013-09-13 09:52 | il0vnn ( 路人 | Rank:29 漏洞数:12 | 这个人那个人)

    防君子不防小人,不过私心觉得还是别混淆了。可以互相交流下代码。哈哈

  6. 2013-09-15 17:14 | 学习乌云 ( 实习白帽子 | Rank:95 漏洞数:14 | 学习ing...)

    @xsser That's my opinion for discussion.

  7. 2013-09-15 17:15 | 学习乌云 ( 实习白帽子 | Rank:95 漏洞数:14 | 学习ing...)

    @xsser Wooyun itself should have a strict definition of vulnerability.

  8. 2013-09-20 11:53 | 大和尚 ( 实习白帽子 | Rank:49 漏洞数:5 | www.ieroot.com 积极向上的心态!百折不挠...)

    这tm都算漏洞!擦