漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-087029
漏洞标题：Go桌面用户登录敏感信息泄露漏洞分析
相关厂商：3g.cn
漏洞作者： somebody365
提交时间：2014-12-13 16:55
修复时间：2015-01-19 16:56
公开时间：2015-01-19 16:56
漏洞类型：用户敏感数据泄漏
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-12-13： 细节已通知厂商并且等待厂商处理中
2014-12-18： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2015-02-11： 细节向核心白帽子及相关领域专家公开
2015-02-21： 细节向普通白帽子公开
2015-03-03： 细节向实习白帽子公开
2015-01-19： 细节向公众公开
简要描述：
Go桌面(版本5.21)是一款安卓桌面软件，用来管理桌面应用，也有自己的用户登录模块，登录后可以充Go币，进行账户管理等。用户登录敏感信息存储在SDCard中，虽然加密，但是加密处理都是与手机平台无关的，恶意应用获取这些登录信息后，根本无需解密，就可登录。
详细说明：
用户首次输入用户名、密码登录后，server端会返回token等登录信息，客户端将这些登录敏感信息存储在SDCard中，虽然采用了加密存储，但是加密处理是与手机平台无关的，秘钥是硬编码的。
加密的登录信息如下图：
SDCard的数据很容易读到，因为加密是与平台无关的，得到加密的信息，根本无需解密，将信息存储到另一台手机SDCard中相应的目录下，打开Go桌面便可成功登录。
漏洞证明：
在一台手机上登录Go桌面，将SDCard中登录信息文件移到另一台没有登录Go桌面的SDCard对应的目录下，发现可以成功登录。以上说明，如果恶意应用盗取了SDCard里中登录信息，便可以以该用户的身份成功登录Go桌面。
修复方案：
将登录信息存储到/data/data/com.gau.go.launcherex目录下，利用安卓的沙箱机制，恶意应用无法获取登录信息。
版权声明：转载请注明来源 somebody365@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-01-19 16:56
厂商回复：
最新状态：
暂无