2014 年 12月 24 日随笔档案 - Fish_Ou

2014年12月24日

Android Logcat Security（转）

摘要：讲解了在Android开发中logcat使用不当导致的安全问题原帖地址：http://drops.wooyun.org/tips/3812 0x00 科普 development versi... 阅读全文

posted @ 2014-12-24 13:02 Fish_Ou 阅读(253) 评论(0) 推荐(0) 编辑

Android Activtity Security(转)

摘要： Android四大组件之一--Activity安全详解。原帖地址：http://drops.wooyun.org/tips/3936 0x00 科普 Android每一个Applicatio... 阅读全文

posted @ 2014-12-24 12:58 Fish_Ou 阅读(558) 评论(0) 推荐(0) 编辑

Android Content Provider Security（转）

摘要：四大组件之一—content provider安全详解原帖地址：http://drops.wooyun.org/tips/4314 0x00 科普内容提供器用来存放和获取数据并使这些数据可... 阅读全文

posted @ 2014-12-24 12:54 Fish_Ou 阅读(975) 评论(0) 推荐(0) 编辑

[典型漏洞分享]横向越权漏洞导致用户隐私信息泄漏【高】

摘要： YS web socket存在横向越权漏洞，当前用户可任意查看其他用户的报警信息，可导致敏感信息泄漏【高】问题描述： YS使用定时轮询web socket的方式获取用户设备的报警信息（比如报警图片），在客户端向服务器发送轮询请求期间，若发生设备报警，则将报警信息将实时推送到客户端进行显示，但在此过程... 阅读全文

posted @ 2014-12-24 12:50 Fish_Ou 阅读(882) 评论(0) 推荐(0) 编辑

[典型漏洞分享]功能逻辑缺陷，不需要旧手机号码即可绑定新手机号码【高】

摘要： YS修改用户绑定手机号码功能存在逻辑绕过漏洞，不需要旧手机号码即可绑定新手机号码【高】问题描述：此问题可作为以上横向越权漏洞问题的延伸，假设横向漏洞已修补，用户登录后的随机session id是作为用户身份的唯一标识，此时，用户虽然无法修改其他人的手机绑定号码，却可以修改自己绑定的手机号码，即不需... 阅读全文

posted @ 2014-12-24 12:42 Fish_Ou 阅读(918) 评论(0) 推荐(0) 编辑