网站目录收录网站方式:1.人工手动审核。2.自助审核(你的网站在权重3、PR4以上,挂上本站友链->点击友链->自动审核通过。)
北京 天津 上海 广东 深圳 河北 河南 新疆 重庆 四川 贵州 湖南 湖北 云南 广西 宁夏 青海 甘肃 陕西
西藏 海南 山东 福建 安徽 浙江 吉林 山西 江西 江苏 辽宁 黑龙 内蒙 澳门 香港 台湾 日本 韩国 美国
当前位置:站长啦网站目录 » 新闻资讯 » 站长新闻 » 漏洞预警 » 文章详细 订阅RssFeed

[公开漏洞]中兴客户端漏洞可能导致大量手机更新被替换风险(手机升级机制设计不当)

来源:WooYun 浏览:948次 时间:2014-05-22
简介:中兴客户端漏洞可能导致大量手机更新被替换风险(手机升级机制设计不当) 相关厂商: 中兴通讯股份有限公司漏洞作者:白帽子的无常 提交时间:2014-02-24 10:59 公开时间:2014-05-22 11:00 漏洞类型:非授权访问/认

中兴客户端漏洞可能导致大量手机更新被替换风险(手机升级机制设计不当) 相关厂商: 中兴通讯股份有限公司 漏洞作者:白帽子的无常 提交时间:2014-02-24 10:59 公开时间:2014-05-22 11:00 漏洞类型:非授权访问/认证绕过 危害等级:中 自评Rank:20 漏洞状态: 漏洞已经通知厂商但是厂商忽略漏洞 漏洞来源:http://www.wooyun.org Tags标签: 设计不当 客户端程序设计错误 搞笑有爱 android安全 漏洞详情 披露状态:

2014-02-24:细节已通知厂商并且等待厂商处理中
2014-02-25:厂商主动忽略漏洞,细节向第三方安全合作伙伴开放
2014-03-04:细节向核心白帽子及相关领域专家公开
2014-03-14:细节向普通白帽子公开
2014-04-03:细节向实习白帽子公开
2014-05-22:细节向公众公开

简要描述:

客户端数据传输未加密,导致账户泄露

详细说明:

之前要给中兴手机升级

下了个中兴升级工具 每次在线下载的时候都失败

想抓包看看下载地址 发现直接提供ftp地址 账户 和密码

三个地址 有一个是内网的

通过登陆另外两个 好多文件夹 翻着好费劲 找了半天 找到了

今天想整个乌云账号 想起它 不知道可不可以

网站直接提供文件下载 有多难啊 我刷个机费了一天。。。

官网没链接 工具不提供本地文件支持 为什么要这样



我想既然提供了ftp的账户应该是有上传之类的权限 要不没必要用账户吧

这样的话直接替换掉里面的文件 修改成带木马的

比如rom加个假的支付宝客户端 exe加木马

不知道各个工厂售后是不是也用这些ftp升级

那所有手机都改成带木马的 客户端应该是直接刷机不验证rom的

登陆网站直接下了个中兴的软件 告诉说中兴抽奖环球旅游 就是先交税到支付宝

应该也很容易成功吧

受害者告中兴公司诈骗 不知会不会

ftp如果有重要资料 应该没有哈

就算是别的工具 应该也是不想公开的 要不干吗设个账户

给发网上 当然对需要刷机资料的是好事啊 其实也没什么 哈哈

所以很严重 数亿这个级别很恰当啊

通过必须要 邀请必须有啊

漏洞证明:

手机不在 没法重现 意思一下

QQ截图20140223154528.png



升级的时候客户端工具自动查询下载

QQ截图20140223154600.png



设置代理

QQ截图20140223155041.png



在记录中看到ftp的账户 密码 地址

客户端在线获取 ftp 地址 账户 密码

通过抓包可获取

修复方案:

另设个服务器 把可以公开的文件 直接提供地址下载

版权声明:转载请注明来源 白帽子的无常@乌云 漏洞回应 厂商回应:

危害等级:无影响厂商忽略

忽略时间:2014-02-25 08:22

厂商回复:

经验证,抓包获取的FTP服务器的用户名和密码只有只读权限,感谢关注

最新状态:

暂无


0

版权与免责声明:

凡注明稿件来源的内容均为转载稿或由网友用户注册发布,本网转载出于传递更多信息的目的;如转载稿涉及版权问题,请作者联系我们,同时对于用户评论等信息,本网并不意味着赞同其观点或证实其内容的真实性;


本文地址:https://top.cnzzla.com/artinfo/1330.html

好玩的手游下载

猜你喜欢

推荐站点

  • 福州小程序开发福州小程序开发

    福州好小蚁科技提供专业的微信小程序开发、软件定制、手机APP开发、网站开发等高端定制外包服务,价格美丽,服务周到.一对一项目对接,不满意退全款!预约电话:13107632710 胡小春!福州好小蚁科技有限公司是福建福州网站app等技术开发优秀网络公司。

    www.fzant.com
  • 世界时间网世界时间网

    世界时间网为您提供世界各地精准时间,北京时间校准器,标准时间,世界各地时间与北京时间对比,时间换算等,希望对您有所帮助。

    top.cnzzla.com/time
  • 科技镇科技镇

    科技镇 | 关注科技、娱乐、人文、生活!

    www.kejizhen.com
  • 心动网址导航心动网址导航

    心动网址导航精选了国内国外著名的网站、好玩的、好看的、有趣的国内国外网站以及实用的、优秀的国内国外网站,包括国外视频、国外购物、国外交友、国外新闻等多种类型 同时提供精品行业分类目录提交,让用户全方位了解国内国外互联网动态!

    xd00.com
  • 门户网址-优秀网站导航门户网址-优秀网站导航

    门户网址-优秀网站导航,精选网址导航,免费分类目录提交,实用酷站大全。

    top.mhwz.cn

最新优秀网站