Brainwaves 神奇腦波 App 任意下載價值上千元台幣的內購

Vulnerability Overview

ZDID: ZD-2019-00122
發信 Vendor: 神奇脑波
Title: Brainwaves 神奇腦波 App 任意下載價值上千元台幣的內購
Introduction: 可透過HTTP網址直接下載高價值的腦波(.caf音頻)

處理狀態

目前狀態

公開

Last Update : 2019/04/14

新提交
已審核
已通報
未回報修補狀況
未複測
公開

處理歷程

2019/01/29 10:09:50 : 新提交 (由 d0gkiller87 更新此狀態)
2019/01/29 10:10:31 : 新提交 (由 d0gkiller87 更新此狀態)
2019/01/29 22:47:22 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2019/01/29 22:47:53 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2019/02/01 10:26:28 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2019/02/01 10:26:28 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2019/02/01 10:26:29 : 通報未回應 (由 HITCON ZeroDay 服務團隊更新此狀態)
2019/04/14 03:00:01 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2019-00122
通報者：vungsung (d0gkiller87)
風險：高
類型：不安全的直接存取物件 (Insecure Direct Object References, IDOR)

參考資料

攻擊者可經由該漏洞取得系統中的其他使用者的資料或是系統檔案。

OWASP Top 10 - 2013 A4 - Insecure Direct Object References
https://www.owasp.org/index.php/Top_10_2013-A4-Insecure_Direct_Object_References

Insecure Direct Object Reference Prevention Cheat Sheet
https://github.com/OWASP/CheatSheetSeries/blob/master/cheatsheets/Insecure_Direct_Object_Reference_Prevention_Cheat_Sheet.md

OWASP Top 10 - 2017 A5 - Broken Access Control
https://www.owasp.org/index.php/Top_10-2017_A5-Broken_Access_Control

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

透過神奇腦波iOS App提供的"完整試聽7天"功能，
利用Charles抓包後發現，
試聽前進行的下載無任何Token或驗證，
資源完全公開於互聯網，
經過手工分析後發現，
資源的命名方式可從App安裝包內的musicEnglishName.plist取得，
利用腳本製作出一套全部的資源url列表，
並導入至Internet Download Manger (IDM)下載器中批次下載，
即可獲取全套APP的DLC內購資源，價值超過上千元新台幣。

修補建議

下載需授權
音頻需加密
播放需解密
私鑰需定期更換
Server需建立日誌系統，一旦出現非法下載，立即調查原因。

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

Brainwaves 神奇腦波 App 任意下載價值上千元台幣的內購 - HITCON ZeroDay

Vulnerability Detail Report