漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0145085
漏洞标题：众禄基金Android客户端存在账户信息泄露
相关厂商：众禄基金
漏洞作者： 大头鬼
提交时间：2015-10-13 16:24
修复时间：2015-11-27 16:26
公开时间：2015-11-27 16:26
漏洞类型：用户敏感数据泄漏
危害等级：高
自评Rank：12
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-10-13： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-11-27： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
客户端存在账户信息泄露
详细说明：
客户端运行时存在调试信息输出，输出的信息中含有登录时账号和密码密文(但可解密)、用户姓名、身份证号、手机号等。输出的调试信息可被其他程序读取，导致用户信息泄露。
漏洞证明：
1.基本信息
被测客户端下载地址：https://**.**.**.**/media/campaign/zlzsb/
apk : com.zlfund.mobile, 264, 2.6.4, 众禄基金
apkmd5: d8025971b6f6a3ff8df19a5494391861
证书 :
certmd5: 5702ed46cb3f189c015d324d42aaca14
issuer: C=86, ST=广东, L=深圳, O=深圳众禄基金销售有限公司
subject: C=86, ST=广东, L=深圳, O=深圳众禄基金销售有限公司
2.漏洞证明
通过DDMS的logcat查看客户端运行时输出的调试信息，下图为客户端输出账户登录时的报文信息，可看到账号和密码密文：
账户成功登录后，输出了账户信息：
对登录密码加密分析：
通过反编译客户端，查看java源码分析，账户登录时，客户端对输入的密码做了加密：
进一步分析发现，客户端程序使用了DES对称加密算法对密码进行加密，然而密钥硬编码于代码中，加解密密钥为：“zl2014fund”
知道密钥和加密算法即可对密文密码进行解密。
修复方案：
清除调试信息输出代码.
密钥算法保护可采用目前市面流行的APP加固，防止客户端程序被反编译。
版权声明：转载请注明来源 大头鬼@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝