BlackHat(世界黑帽大会)官方APP出现两个逻辑漏洞

简介:

如果某家普通的企业的APP或者网站出现漏洞,那么其实是很正常的事情。但是如果有人和你说FreeBuf或者Wooyun出现漏洞了,那么大家心中的第一反应肯定是“握了个擦,大新闻”!

BlackHat(世界黑帽大会)官方APP出现两个逻辑漏洞

BlackHat大会马上就要举行了,作为全世界最出名的黑帽安全大会,自然受到很多人的关注。Black Hat(世界黑帽大会)2016的APP可以让参与人员查看自己的注册信息,会议安排,消息通知等一系列关于该会议的信息。值得关注的是Black Hat 2016的APP就出现了两个非常奇葩的逻辑漏洞,这两个漏洞在IOS和Android的APP中都可以复现。

下面,让小编为你解析一下这两个逻辑漏洞。

漏洞分析

邮箱重复注册漏洞:

一般大家在网上通过邮箱注册的时候都会有个验证,主要是用来区别该邮箱是否已经注册过互联网账号,但是Black Hat不按套路出牌啊!假设A用户用自己的邮箱注册了black hat 2016的账号。这个时候,B用户不想掏钱购买大会门票,于是用A用户的邮箱再注册了一个 Black Hat 2016的账号。也就是说,黑客可以利用已经被注册的邮箱账号再注册一遍Black Hat账号。我画一张图给大家演示一下。

BlackHat(世界黑帽大会)官方APP出现两个逻辑漏洞

实际上这个只是举个例子,可以利用这个漏洞的方法还有很多,请大家自行补脑。

Cookie验证漏洞:

一般来说,当大家更改密码以后,之前的cookie值是不能够继续使用的,需要用户重新登陆账号。Black Hat对自己的APP安全好像很有信心,所以在用户更改密码后,之前的cookie值还能一直使用。WTF?!没错,就是这样。解释清楚一点就是,假设A的账号被B盗取了,并且登陆在B的手机上。这个时候,A重置了自己的Black Hat账号的密码。但是只要B不退出A的账号,B就可以一直查看A的Balck 账号所有信息。弱弱的问一下Black Hat,APP传输数据的过程中就不能加上session吗?我继续用一张图片演示一下。

BlackHat(世界黑帽大会)官方APP出现两个逻辑漏洞

参考

http://www.infosecurity-magazine.com/news/official-black-hat-usa-app-allows/

https://blog.lookout.com/blog/2016/07/29/black-hat-app/


作者:ArthurKille

来源:51CTO

相关文章
|
3月前
|
存储 开发者 iOS开发
打包生成的苹果APP上架到苹果官方appstore商店的详细流程与教程
打包生成的苹果APP上架到苹果官方appstore商店的详细流程与教程
31 0
|
4月前
|
API 开发工具 iOS开发
在应用研发平台EMAS中,ios的推送有没有办法在app端设置在收到通知后是否展示的逻辑
在应用研发平台EMAS中,ios的推送有没有办法在app端设置在收到通知后是否展示的逻辑
32 1
|
6月前
|
算法 安全 区块链
区块哈希游戏开发逻辑(上链合约)哈希竞猜游戏开发方案(app/DAPP)
区块哈希游戏开发逻辑(上链合约)哈希竞猜游戏开发方案(app/DAPP)
|
6月前
|
存储 前端开发 JavaScript
潮玩元宇宙大逃杀app游戏系统开发稳定版/流程设计/功能步骤/需求逻辑/源码程序
需求分析:明确项目的整体目标和功能需求,包括游戏规则、玩法机制、图形界面、用户账号系统、实时交互等。
|
7月前
|
存储 前端开发 测试技术
同城交友开发稳定版丨同城交友app系统开发详细程序/案例设计/方案逻辑/规则详情/源码设计
需求分析:明确系统的功能、特点和目标受众,并根据市场需求进行需求调研,从中提取核心功能和关键需求。
|
7月前
|
存储 移动开发 前端开发
线上直播拍卖APP源码,开发实现竞拍模式的逻辑和技术
探讨"东莞梦幻网络科技"在线拍卖软件源码的实时竞拍功能以及为这一拍卖模式提供技术支持,以下是深入研究的重点详细信息。
|
10月前
|
存储 安全 小程序
东郊到家预约APP及小程序系统开发(方案及逻辑)/功能设计/项目逻辑/开发案例/成熟技术/源码程序
 区块链技术还有一个很重要的优势就是可追溯性和不可篡改性。在区块链上进行的每一笔交易都会被记录在区块链上,并且这些交易记录都是透明的,任何人都可以查看
|
10月前
|
存储 JSON 安全
旅游APP开发详情丨旅游系统开发案例设计/功能方案/逻辑项目/源码平台
 数据共享和分发:区块链中的链式结构允许数据在网络中被共享和分发。每个参与节点都可以获得完整的区块链副本,从而保持数据的同步和一致性。这种去中心化的特点使得区块链具有高度的可靠性和抗故障能力。
|
11月前
|
存储 人工智能 机器人
ChatGPT官方APP上线:速度极快且免费、增加语音识别,网友:真香
ChatGPT官方APP上线:速度极快且免费、增加语音识别,网友:真香
153 0
|
11月前
|
存储 JavaScript 安全
云计算架构:Azure]比较流,逻辑应用(Logic App),函数和 WebJobs
云计算架构:Azure]比较流,逻辑应用(Logic App),函数和 WebJobs

热门文章

最新文章