人人网相册漏洞：非好友可查看隐私相册

人人网的相册可设置为只对好友可见，但是今天一个偶尔的机会发现非好友也可以看到隐私相册，于是顺便就给一个好朋友留了言。
具体描述一下漏洞：
(1) 首先自己要登陆，假设你要偷看的用户是A，然后搜索A的名字(前提你要知道他(她)叫什么哪个学校，户籍，性别等等)。
(2) 发现A的相册是只对好友开放的，不要急，看到地址栏里www.renren.com/后面的数字了吗？那是用户的唯一标识，对A的ID稍微做修改(稍微，就是从这串数字的第二位开始，每次只修改一位)。访问修改后的ID(假设为用户B的ID)所代表的用户首页。如：你要访问的用户A的ID是234164190，将第二位3改为4，修改后的用户B的首页地址是www.renren.com/244164190/profile.同理修改第345位。
(3) 重复(2)直到新得到的用户B的相册是可以访问的。
(4) 进入B的某个相册，地址栏现在的模式应该是:photo.renren.com/(ID)/album-(相册编号)别忘了你要偷看的是不对外开放相册的用户A的相册。现在将地址栏里B的ID改回A的ID。回车。
(5) 神奇的时刻来到了，页面上用户B的名字刷新成了用户A的名字。你还会发现右侧有几个用户A的相册超链接(没错，就是那几个小方块)。
(6)点击小方块，恭喜你打开了A的相册。你可以留言，不管你是否留言，因为你已经登陆了，所以A肯定会发现你访问过他的主页。

这里暴露了两个BUG：
(1) 相册访问没有权限验证的步骤，我觉得如果资源充足，完全可以写个程序暴力猜测相册编号。人人网貌似也没有反爬虫机制吧。
(2) 暴力破解？完全没必要，因为上面的hack过程说明了一个问题：相册的编号似乎跟用户ID有关系，要不然怎么两个相似ID对应同一个相册编号？初步猜测是由ID后两位(后一位？)作为因子生成的九位随机数。

本文纯属虚构，如有雷同纯属巧合。

add----------------------------------
人人网已更新，此漏洞已不存在。

人人网相册漏洞：非好友可查看隐私相册相关推荐

人人网查看隐私照片_带有位置标签的照片真的是隐私问题吗？
人人网查看隐私照片 When you take a photo with your smartphone (or a modern digital camera), it logs the phot ...
突破领英限制如何查找非好友电话，邮箱技巧
在Linkedin,如果不是好友,是无法查看对方邮箱.电话.社交账号等信息的,必须先加为好友才可查看到.由于Linkedin对加好友有很多限制,并且并不是所有的人都可以加上,这就导致无法查看这些人的邮 ...
如何突破LinkedIn领英限制，导出非好友邮箱等社交方式
相信做外贸的朋友都有使用过Linkedin,如果还没有使用过的话,我只能说您错过一个很好的平台.只要是厉害的外贸人都特别擅长用Linkedin找客户. 那为什么说Linkedin是外贸业务员开发客户最 ...
可以强制看非好友的朋友圈吗？
有网友发邮件问,用空间万能查看器天涯,可以强制看非好友的朋友圈?今天小编就给大家说说微信朋友圈的一些事情. 微信好友之间可以看到对方朋友圈每次发的一些动态记录,只要对方不设置让你看不到,就可以看到. ...
Linkedin领英怎么导出非好友电话、邮箱等资料
导出Linkedin非好友电话.邮箱技巧相信做外贸的人都会使用Linkedin找人才资料,因为Linkedin平台是一个职业社交平台,使用的人都是公司的白领人士,而且Linkedin注册的时候必须用 ...
墨菲的鬼魂重现 / 金蝶ERP 资安大漏洞 (非授权补丁自动下载安装)
<墨菲定律>(Murphy's Law):Anything that can go wrong will go wrong. :"凡事只要有可能出错,那就一定会出错." ...
华为鸿蒙创始人,华为鸿蒙操作系统怎样华为创始人任正非：苹果是隐私榜样...
华为创始人任正非:苹果是隐私榜样任正非近日登上法国著名新闻周刊<观点>杂志的最新一期封面.<观点>以"这个人将改变历史"为标题,刊登了任正非的肖像照,并以 ...
vue查看本地相册_使用Vue.js构建的Google相册相册查看器
vue查看本地相册 google-photos-vue (google-photos-vue) Google Photos album viewer built with Vue.js. 使用Vue. ...
uniapp生成海报，保存相册 / 分享微信好友和朋友圈
<view> <u-button @click="createPoster">生成海报</u-button> <u-popup :show ...

人人网相册漏洞：非好友可查看隐私相册

人人网相册漏洞：非好友可查看隐私相册相关推荐

最新文章

热门文章