首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. Android安全
    3. 发新帖
[原创]某app头像泄露凭证漏洞
发表于: 2019-11-1 14:31 6152

[原创]某app头像泄露凭证漏洞

Gintoki 活跃值
2019-11-1 14:31
6152

懒了很久没写文章，最近对某app进行渗透测试，该漏洞修复后将详情共享一下，具体是什么app也就不说了。


某app注册后需要初始化用户信息，这里可以上传头像，上传头像有个蜜汁操作，服务器返回头像地址给app，app再将头像地址返回给服务器从而设置用户的头像地址（黑人问题），这就导致我们可以设置任意地址，这里用百度地址试试能不能成功

服务器返回包：


[注意]看雪招聘，专注安全领域的专业人才平台！

收藏
免费 ・2
支持
分享
赞赏记录
参与人
雪币
留言
时间
PLEBFE
为你点赞~
2023-1-21 03:34
Editor
为你点赞~
2019-11-4 10:53
最新回复 (11)
尐进
雪    币： 5492
活跃值： (3317)
能力值： ( LV5，RANK：60 )
在线值：
发帖
回帖
粉丝
私信
2 楼
可以的。方便说下什么app嘛
2019-11-1 15:00
0
v0id_
雪    币： 8519
活跃值： (5136)
能力值： ( LV4，RANK：45 )
在线值：
发帖
回帖
粉丝
私信
3 楼
思路可以啊
2019-11-1 15:43
0
supperlitt
雪    币： 1387
活跃值： (5614)
能力值： ( LV3，RANK：25 )
在线值：
发帖
回帖
粉丝
私信
4 楼
。。。这确实是漏洞。
2019-11-1 15:53
0
bujianshi
雪    币： 48
活跃值： (78)
能力值： ( LV2，RANK：15 )
在线值：
发帖
回帖
粉丝
私信
5 楼
阿基米德
2019-11-1 17:12
0
sageloris
雪    币： 18
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
6 楼
alphc 思路可以啊
啊手动阀手动阀
2019-11-1 17:53
0
zylyy
雪    币： 144
活跃值： (428)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
使用任意地址不算是漏洞，蜜汁尴尬在于请求头像时get操作携带敏感信息，这一点玩是真醉
2019-11-2 07:17
0
Rookietp
雪    币： 1042
活跃值： (630)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
这也算xss了吧~
2019-11-3 10:37
0
badm
雪    币： 200
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
9 楼
zylyy 使用任意地址不算是漏洞，蜜汁尴尬在于请求头像时get操作携带敏感信息，这一点玩是真醉
使用任意地址没问题，估计他们在底层统一处理了http请求，这一点不应该啊
2019-11-4 15:41
0
nws0507
雪    币： 2559
活跃值： (509)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
10 楼
确实是漏洞，给客服私信说看看我头像怎么显示不了
2019-11-4 23:54
0
caolinkai
雪    币： 3836
活跃值： (4142)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
11 楼
骚操作。。。
2019-12-13 15:46
0
caolinkai
雪    币： 3836
活跃值： (4142)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
12 楼
badm 使用任意地址没问题，估计他们在底层统一处理了http请求，这一点不应该啊
是的。已经跨域了。但是还 携带敏感信息。。。。应该是 放头部了
2019-12-13 15:54
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回

账号登录
验证码登录

忘记密码？
没有账号？立即免费注册
我已同意 《看雪服务条款》 《看雪课程免责声明》 《看雪隐私政策》