如果你想拍出自己最丑陋的一面,请把手机给你的男友;如果你想拍自己最美好的一面,请用GoPro。
自从手机内置摄像头把大部分数码相机放进了储藏室后,很多人忽略了手机拍照的瓶颈——摄像头长手机里面, 延展性有很大的问题,在角度和位置上必须做出一些妥协,明显骨(shi)灰(bi)级自拍爱好者无法忍受自身诸如手不够长,柔韧性不够好等缺陷。GoPro 因此而诞生,可以说是非常伟大的产品,公司也随之上市,根据去年末的数据,Gopro 第四季度营收高达6.34亿,是第三季度的两倍。但是一周前,谁都没想到GoPro的用户wifi密码竟然是明文保存且可以轻易被获取到。
Gopro提供了一个app给你使用,通过这个app你可以无线连接到GoPro并让你的手机操作各种功能,包括拍照,拍摄,查看SD卡上的资源,发邮件,转发到facebook等等。 其通信使用的是需要密码的wifi协议, 这里就出现一个需求——密码需要设置。为了重新设置WiFi设置,需要按照GoPro网站 http://gopro.com/support/articles/wi-fi-name-password上的要求,一直点击“next”到“finish”。之后就会有一个链接,让你下载一个zip文件。
这个文件解压缩后会有一个settings.in的文件,里面包含了用户WIFI的用户名和明文密码, 这里已经带来了一个很大的安全隐患了:GoPro拥有你所有的wifi密码的明文信息。 貌似由于注意力被转移了,GoPro并没有对这一点做出回应。
如果只是这样的一个安全隐患,那还不能叫做漏洞, 我们来看一下下载的链接。
上面粗体字的部分,看上去像是一个用户id似的变量, 把这个变量改一下如何? 咦,又下载了一个zip文件,而且这个文件包含的不是自己的密码信息,而是别人的。
于是就简单了,写一个小python程序跑一阵,就可以轻松获得数百名用户的信息。 整个POC的过程持续了很短的时间, GoPro官方没有任何限制用户对这些zip文件的访问。
这个漏洞理论上可以造成大量用户wifi密码被盗, 建议使用GoPro的用户将使用过的wifi密码都去更改一下。
如何修复这个漏洞呢? 除了对url上这个id变量进行加密, 还可以限制用户对文件的访问,做到双保险, 使用类似机制的公司可以借鉴一下。
该漏洞最早由llya chemyakov 与3月1日发布, 360播报在4日进行了转载。