漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-075374
漏洞标题：定位宝续写遍历部分客户漏洞 第二弹
相关厂商：dwb.so
漏洞作者： Ban have
提交时间：2014-09-09 10:15
修复时间：2014-10-24 10:16
公开时间：2014-10-24 10:16
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-09-09： 细节已通知厂商并且等待厂商处理中
2014-09-09： 厂商已经确认，细节仅向厂商公开
2014-09-19： 细节向核心白帽子及相关领域专家公开
2014-09-29： 细节向普通白帽子公开
2014-10-09： 细节向实习白帽子公开
2014-10-24： 细节向公众公开
简要描述：
根据官方某处逻辑错误，可进行遍历部分客户。续写第一弹的针对用户gps精准定位。泄露个人隐私
详细说明：
乌云官方，你们把这个过了吧……定位宝他们(●ˇ∀ˇ●)等的不耐烦了。
#本身这个漏洞不值得一提，但是根据上个漏洞综合运用，那么泄露的客户信息及资料可进行大范围的人肉等用处。甚至可以根据客户的习惯进行社工.
下面运用之，编写漏洞利用软件。手工也可以，不怕手骨折尽管来。骚年
#1
额 代码写了一半，时间不够了。我也懒得写了，提交漏洞后 还要撤退，有一大波僵尸正在袭来。。。
#2 测试下过程吧。打开官网，意外看到一个这样的东西http://msg.dwb.so/ 留言箱？？？ 好吧，我们测试一下，提交个留言。看下过程。点击新建，手机号处会因为工程师因为错误造成的，先不管，随意输入手机号，我们返回一个这样的页面http://msg.dwb.so/read.php?id=4-386
#3 打开看一下，嗯我们的留言。看看链接后面386...是排号的？
#4 测试得到：是的，果真是排号的。
#5这有什么用处呢？话说我看着也没用，不过我们点击《回复》嗯哼，对方手机号……
#6查看对方手机号地方，把没有用的代码去掉。这条留言是给这个手机号的主人留的。我们猜测一下先，能够给这个手机号留言，那么至少有80%的几率是拥有定位宝的人。根据 WooYun: 定位宝可定位任意客户手机号码/无限制使用/登陆任意账号(包括管理员)/可以监听手机，定位，查看对方行踪 这个漏洞，我们可以得到此用户的精准地址 定位宝，来吧，发挥你的用处吧 GPS...
#7这点用处不算什么，我们可以根绝给对方留言的人的语气进行社工。获得更多的信息甚至……
漏洞证明：
src="https://wooyun-img.oss-cn-beijing.aliyuncs.com/upload/201409/071722320c59411e86a29a675040f8e396880371.jpg" alt="1.jpg" />
修复方案：
bug虽小，不可不防。
修复方法：
#1数字随机或者添加字母随机，例如：1542484，4515658，5951423...
#2考虑到你们的资金问题，也可以md5加密后随机，更加安全。
版权声明：转载请注明来源 Ban have@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2014-09-09 11:07
厂商回复：
哎，我的这帮小兔崽子，只知道完成任务，不知道信息安全事关人命！Ban have@乌云，挖的好，谢谢!
最新状态：
暂无