漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-083907
漏洞标题：360隐私保险箱程序锁绕过
相关厂商：奇虎360
漏洞作者： kav
提交时间：2014-11-27 10:41
修复时间：2015-01-03 10:42
公开时间：2015-01-03 10:42
漏洞类型：设计错误/逻辑缺陷
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-11-27： 细节已通知厂商并且等待厂商处理中
2014-11-27： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2015-01-21： 细节向核心白帽子及相关领域专家公开
2015-01-31： 细节向普通白帽子公开
2015-02-10： 细节向实习白帽子公开
2015-01-03： 细节向公众公开
简要描述：
360隐私保险箱程序锁绕过
详细说明：
360隐私保险箱程序锁，加密相册后，打开相册，应该输入密码，否则看不到里面的照片。但是，在文件管理处，找到相册的文件夹，可以看到，相册的缩略图，虽然看不到清晰的图片，但是可以通过QQ的图片发送方式，来转发到另外一个QQ小号，来观看高清的图片。
在打开那张缩略图的时候，会让用户选择打开方式，有一个相册打开，一个通过QQ打开，入股用户通过相册打开，会输入密码，但是如果用户选择通过QQ打开的时候，是打开的QQ图片发送功能，就不用输入密码，且会自动发送原高清图片。
演示视频：http://vliveachy.tc.qq.com/vwecam.tc.qq.com/1006_4273126e0e36451aab85dd3ad259b1f4.f20.mp4?ptype=http&ocid=1411588012&ocid=227024812
因不支持mp4格式 只得外链，请谅解！
漏洞证明：
证明视频：http://vliveachy.tc.qq.com/vwecam.tc.qq.com/1006_4273126e0e36451aab85dd3ad259b1f4.f20.mp4?ptype=http&ocid=1411588012&ocid=227024812
因不支持mp4格式 只得外链，请谅解！
修复方案：
这个真心不会
版权声明：转载请注明来源 kav@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-01-03 10:42
厂商回复：
程序锁只是对应用程序进行加锁，确保应用程序在使用前需要密码认证。
本例中的图片是外部数据，任何应用都可访问。如果想让图片收到保护，可以将其加入到隐私保险箱的图片中。
最新状态：
暂无