漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-037175
漏洞标题：我是怎样定位我的陌陌好友
相关厂商：北京陌陌科技有限公司
漏洞作者： 7z1
提交时间：2013-09-15 15:57
修复时间：2013-12-11 15:58
公开时间：2013-12-11 15:58
漏洞类型：用户敏感数据泄漏
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-09-15： 细节已通知厂商并且等待厂商处理中
2013-09-20： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2013-11-14： 细节向核心白帽子及相关领域专家公开
2013-11-24： 细节向普通白帽子公开
2013-12-04： 细节向实习白帽子公开
2013-12-11： 细节向公众公开
简要描述：
由于陌陌的留言板位置数据缓存在用户sqlite文件中，只要用户刷新过附近的人的留言板，加载过对方的留言板内容，那么你加载过的那条留言的GSP经纬度数据就存储在自己的sqlite中，对方的位置在你的掌握之中……
详细说明：
本人手机系统ios 6.1.4，没越狱。
用快用苹果助手打开，切换到自己的iPhone管理界面，如图：
从上图红箭头所指的地方可以看见陌陌的文件夹，进入陌陌文件夹，再进入Documents文件夹，可以看见用户关键配置文件与数据文件都在这个目录，如图：
将以自己ID命名的sqlite文件拷贝出来，从数据结构与内容分析，用户数据数据就存储在这个文件中，我通过测试之后发现好友GSP位置数据应该在陌陌服务器的。但是只要用户刷新过附近的人的留言板，加载过对方的留言板内容，那么你加载过的那条留言的GSP经纬度数据就存储在自己的sqlite中，经纬度数据在表：md_feeds_tmp11字段：f_lat 、f_lng ，如图：
PDF下载地址：
链接:http://pan.baidu.com/share/link?shareid=3236949238&uk=102124124
密码:pax5
漏洞证明：
修复方案：
勿将留言板的经纬度数据存放在用户本地数据文件中……
版权声明：转载请注明来源 7z1@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-12-11 15:58
厂商回复：
漏洞Rank：10 (WooYun评价)
最新状态：
2013-09-20：确认