北京时间手机APP越权冒用他人身份

编号195431
Urlhttp://www.wooyun.org/bug.php?action=view&id=195431
漏洞状态厂商已经确认
漏洞标题北京时间手机APP越权冒用他人身份
漏洞类型未授权访问/权限绕过
厂商奇虎360
白帽子shl.
提交日期2016-04-12 17:23:00
公开日期2016-06-01 17:10:00
修复时间(not set)
确认时间2016-04-17 00:00:00
Confirm Spend5
漏洞标签
关注数0
收藏数0
白帽评级
白帽自评rank10
厂商评级
厂商评rank5
漏洞简介
北京时间手机APP越权查看他人敏感信息
漏洞细节

北京时间手机APP越权查看他人敏感信息,仿冒他人发布评论!
账号A登录

11.png


修改uid参数信息

22.png


越权查看他人“文章”“专辑”“视频直播”等

33.png


44.png


55.png


仿冒他人发布评论信息,此处同样修改uid参数

66.png


仿冒发布评论成功

77.png


POC

北京时间手机APP越权查看他人敏感信息,仿冒他人发布评论!
账号A登录

11.png


修改uid参数信息

22.png


越权查看他人“文章”“专辑”“视频直播”等

33.png


44.png


55.png


仿冒他人发布评论信息,此处同样修改uid参数

66.png


仿冒发布评论成功

77.png


修复方案

UID参数与session,token等参数做绑定!

状态信息 2016-04-12: 细节已通知厂商并且等待厂商处理中
2016-04-17: 厂商已经确认,细节仅向厂商公开
2016-04-27: 细节向核心白帽子及相关领域专家公开
2016-05-07: 细节向普通白帽子公开
2016-05-17: 细节向实习白帽子公开
2016-06-01: 细节向公众公开
厂商回复感谢您关注360产品安全,我们第一时间跟进并进行修复。
回应信息危害等级:中漏洞Rank:5 确认时间:2016-04-17 17:02