search

weikipeng / fanfoudroid

Automatically exported from code.google.com/p/fanfoudroid
0 stars 0 forks source link

安全性BUG，可以获取别人的用户信息 #115

Closed GoogleCodeExporter closed 9 years ago

GoogleCodeExporter commented 9 years ago 
感觉存在安全隐患
请描述使问题重现的步骤?
1.修改android客户端，将用户名 
密码认证的后台替换成自己写的地址，例如 
http://192.168.0.2/api/login.json.
2. 服务端模拟发否需要的json格式
3. 客户端成功登录后，点击个人资料信息

希望出现怎样的结果? 实际的结果是什么?
应该个人资料为空，或者是显示验证失败，但是现在的情况��
�，假如我在步骤1中填写的用户名与饭否注册用户中刚好有同
样的，那么我可以看到该注册用户的详细信息，包括已发表��
�帖子，关注的人，等等。

ROM信息?

机型？

请提供更多的信息（如果有的话）.

Original issue reported on code.google.com by zhaohong...@gmail.com on 17 Jul 2011 at 9:01

GoogleCodeExporter commented 9 years ago 
"用户的详细信息，包括已发表的帖子，关注的人" 
这些本来就是公开信息。你可以试试请求一个设置了隐私的��
�户名，那时才会显示没有权限。

查看一个用户的个人资料是一个单独的api，和登录是没有关��
�。你说的这种情况就相当于你在查看另一个人的个人资料(和
你在网页进入到另一个人的饭否主页一样）。这不存在安全��
�患。

Original comment by lds1...@gmail.com on 18 Jul 2011 at 12:01

GoogleCodeExporter commented 9 years ago

Original comment by ch.lin...@gmail.com on 7 Sep 2011 at 1:28