漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-057140
漏洞标题：秘密APP逻辑缺陷导致可猜测秘密具体发布者是哪个好友
相关厂商：秘密
漏洞作者： Lucien
提交时间：2014-04-16 10:38
修复时间：2014-07-15 10:39
公开时间：2014-07-15 10:39
漏洞类型：设计错误/逻辑缺陷
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-04-16： 细节已通知厂商并且等待厂商处理中
2014-04-16： 厂商已经确认，细节仅向厂商公开
2014-04-19： 细节向第三方安全合作伙伴开放
2014-06-10： 细节向核心白帽子及相关领域专家公开
2014-06-20： 细节向普通白帽子公开
2014-06-30： 细节向实习白帽子公开
2014-07-15： 细节向公众公开
简要描述：
由无觅网出品的秘密AAP可以匿名发布信息，其最重要的卖点就是隐私保护，但是由于其存在着致命的逻辑设计缺陷，可猜测出秘密的发布者是自己的哪位联系人。隐私保护形同虚设，命中率百分百。
这是一个逻辑挑战。
详细说明：
秘密APP存在三个问题
第一，注册账号时无需验证手机号就可注册成功。
第二，通过找回密码穷举联系人可以获得注册秘密APP的好友列表。
第三，请求找回密码重新获取时间可以通过登录账号再退出绕过
将以上三个漏洞加以利用即可猜测出秘密发布者。
猜测步骤：
1.利用APP只能注册三个账号的特点，注册满三个账号（手机号任意输，不是自己的手机号也能注册）。
2.通过忘记密码穷举联系人列表，未注册的会提示手机号码还未注册，已注册的会提示一部手机最多注册三个账号。
PS：为什么第一步要把三个账号注册满，因为你不注册满，一旦该手机号码注册过秘密，就会发验证码过去，岂不是打草惊蛇了。而且会触发验证码120秒的等待时间（不过也有办法不等待，登陆自己的号码再退出等待时间就清零了。
3.在另外一台通讯录为0的设备上注册一个新的账号。把联系人账号一个个输进去，前三个输入自几注册过的手机号，后面每增加一名用户，就能看到这名用户发的所有秘密。（这里也体现出刚开始注册
总结。。以方法虽然笨了点，时间也花的久点，但是确实有效，100%命中！以上第二步可以写个软件跑一下，两分钟就能出结果，第三步还需要自己去慢慢比对。。联系人注册多的就杯具了。其实也有更笨的办法，跳过第二步不用猜测谁注册了秘密，直接把通讯录联系人一个一个添加到新的设备和账号里，就可以了！
漏洞证明：
1.提前注册好一个账号。13737373737，并发布text秘密
2.通过重置密码发现13737373737已注册
（未注册显示为手机号码还未注册，可将该人排除）
3.将13737373737加入通讯录
4.发现朋友的消息多出了一条，即可猜测是来自13737373737的匿名消息。
修复方案：
增加注册时短信验证，忘记密码更换提示语，增加请求次数限制，修改请求时长限制
版权声明：转载请注明来源 Lucien@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：2
确认时间：2014-04-16 21:44
厂商回复：
感谢@Lucien对秘密的关注及提出的建议。
我们重新深入了解及测试了整个流程，按照用户提供的测试流程并无法确切猜出发表秘密的用户。
但用户对于产品提示及注册流程的建议非常棒，已被采纳，将于下一版提供给用户。有其他方面的建议及反馈可发邮件至mimifb#。
最新状态：
暂无
( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)