漏洞概要 关注数(24) 关注此漏洞
>
漏洞详情
披露状态：
2013-09-15： 细节已通知厂商并且等待厂商处理中
2013-09-20： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2013-11-14： 细节向核心白帽子及相关领域专家公开
2013-11-24： 细节向普通白帽子公开
2013-12-04： 细节向实习白帽子公开
2013-12-11： 细节向公众公开
简要描述：
由于陌陌的留言板位置数据缓存在用户sqlite文件中，只要用户刷新过附近的人的留言板，加载过对方的留言板内容，那么你加载过的那条留言的GSP经纬度数据就存储在自己的sqlite中，对方的位置在你的掌握之中……
详细说明：
本人手机系统ios 6.1.4，没越狱。
用快用苹果助手打开，切换到自己的iPhone管理界面，如图：
从上图红箭头所指的地方可以看见陌陌的文件夹，进入陌陌文件夹，再进入Documents文件夹，可以看见用户关键配置文件与数据文件都在这个目录，如图：
将以自己ID命名的sqlite文件拷贝出来，从数据结构与内容分析，用户数据数据就存储在这个文件中，我通过测试之后发现好友GSP位置数据应该在陌陌服务器的。但是只要用户刷新过附近的人的留言板，加载过对方的留言板内容，那么你加载过的那条留言的GSP经纬度数据就存储在自己的sqlite中，经纬度数据在表：md_feeds_tmp11字段：f_lat 、f_lng ，如图：
PDF下载地址：
链接:http://pan.baidu.com/share/link?shareid=3236949238&uk=102124124
密码:pax5
漏洞证明：
修复方案：
勿将留言板的经纬度数据存放在用户本地数据文件中……
版权声明：转载请注明来源 7z1@乌云
>
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-12-11 15:58
厂商回复：
漏洞Rank：10 (WooYun评价)
最新状态：
2013-09-20：确认