漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-032745
漏洞标题：Android应用代码安全之新浪微博HD
相关厂商：新浪
漏洞作者： 墨水心_Len
提交时间：2013-07-30 07:56
修复时间：2013-09-13 07:56
公开时间：2013-09-13 07:56
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-07-30： 细节已通知厂商并且等待厂商处理中
2013-07-30： 厂商已经确认，细节仅向厂商公开
2013-08-09： 细节向核心白帽子及相关领域专家公开
2013-08-19： 细节向普通白帽子公开
2013-08-29： 细节向实习白帽子公开
2013-09-13： 细节向公众公开
简要描述：
前两天逛微博看到有人拿那些未知或叫他"只有他"自个儿知道的漏洞去压着厂商说事儿。个人觉得这么做已脱离了白帽子的本质。或许也有个人道德问题吧（该段儿与新浪无关哈）。
新浪估计把这个给漏掉了。
详细说明：
classes.dex 是应用程序编译后的java文件，其中包含了所有activity编译后的code。我们可以通过反编译这个文件从而获取该应用源码（说明下如果在没有经过代码混淆或加固的情况下源码相似度98%）。
其实很简单，相信很多童鞋看到这标题就已经心知肚明了（为了顺利通过审核我就多唠叨下）。
所需工具 dex2jar 和 JD GUI，在win下的童鞋点这里
步骤
1、apk文件后缀改为rar，解压获取classes.dex文件；
2、将classes.dex放于dex2jar文件目录，然后使用dex2jar.bat反编译。
3、所得的Jar文件用JD GUI打开。
漏洞证明：
打开后看到没有丝毫代码混淆加固的迹象（随手又试了两个新浪的app，结果是否定的。估计把这个给漏掉了）。考虑到机密问题这里细节图就只上一张了。
修复方案：
虽不能完全避免反编译来的伤害，但基本的代码混淆还是要的，毕竟google老早已给咱们预留好这功能了，照着weibo app来吧。
如有好的解决方案，欢迎交流。
顺便求公仔 …
版权声明：转载请注明来源 墨水心_Len@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：6
确认时间：2013-07-30 16:11
厂商回复：
感谢关注新浪安全，已安排人员进行修复。
最新状态：
暂无
漏洞评价：
评论
-
@学习乌云 漏洞本来每个人都有各自的理解和定义，建议业界不要有规范这一说，如果有不同的意见可以进行讨论
( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)