当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-05088

漏洞标题：陌陌明文提交注册信息明文传输

相关厂商：北京陌陌科技有限公司

漏洞作者： 打酱油的

提交时间：2012-03-08 11:13

修复时间：2012-03-08 11:13

公开时间：2012-03-08 11:13

漏洞类型：用户敏感数据泄漏

危害等级：低

自评Rank：5

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-03-08： 积极联系厂商并且等待厂商认领中，细节不对外公开
2012-03-08： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

陌陌是北京陌陌科技有限公司推出的一款基于地理位置的移动社交产品。其登录认证使用了明文传输用户ID和密码。

详细说明：

陌陌是北京陌陌科技有限公司推出的一款基于地理位置的移动社交产品。其登录认证使用了明文传输用户ID和密码。

漏洞证明：

Send:

POST /api/checkaccount HTTP/1.1
User-Agent: MomoChat/1.11build Android/12 (LT18i; Android 2.3.4; zh_CN)
Content-Length: 249
Content-Type: application/x-www-form-urlencoded
Host: www.immomo.com:80
Connection: Keep-Alive
uid=85dab7d268769df46abe111a82976931&phone_netWork=2&screen=480x854&model=LT18i&rom=2.3.4&phone_type=GSM&device_type=android&account=xxxxxx&mac=5c%3Ab5%3A24%3A09%3Ae1%3A58&market_source=1&buildnumber=4.0.2.A.0.58%2Fxf_v3w&password=xxxxxx&version=12


account和password字段我用xxxxxx代替了 ^_^
Response:

HTTP/1.1 200 OK
Server: nginx/1.0.12
Date: Wed, 07 Mar 2012 02:03:55 GMT
Content-Type: text/plain; charset=utf-8
Transfer-Encoding: chunked
Connection: keep-alive
X-Powered-By: PHP/5.3.10
Cache-Control: max-age=0
9f
{"ok":true,"momoid":"xxxxxx","email":"[email protected]","name":"\u6d4
1\u6d41","session":"8857DA0B-9F98-B19B-8A8D-29CA3750A850","server":"","port":0}
0


修复方案：

无

版权声明：转载请注明来源 打酱油的@乌云

漏洞回应

厂商回应：

危害等级：暂时无回应

漏洞Rank：4

确认时间：2012-03-08 11:13

厂商回复：

最新状态：

暂无