黑客可通过漏洞访问Uber优步司机和乘客信息

　　E安全6月25日讯 来自葡萄牙安全咨询和审计公司Integrity的研究人员在Uber优步网站和服务中发现十多个漏洞，其中一些漏洞可被用于访问司机和乘客信息。

　　专家总共发现了14个问题，其中有6个被优步认为是重复提交，另外4个尚未公布。其中一个很有意思的漏洞跟优惠代码有关。研究人员发现riders.uber.com网站并未部署任何针对暴力攻击的保护措施，这样攻击者就能够不断尝试生成优惠代码直到成功为止。

　　本次安全测试的范围

• https://*.uber.com/

• https://*.uberinternal.com/ (added later into the program)

• https://petition.uber.org

• https://ubermovement.com

• iPhone Rider Application

• iPhone Partner Application

• Android Rider Application

• Android Partner Application

　　研究人员设法找到了1000个有效优惠代码是通过暴力攻击方式获取的，但优步指出这个问题无效，因为优惠代码应该是公开的。不过当研究员发现一张价值100美元的ERH（紧急回家）优惠代码可优先于其它优惠代码使用时，优步内部的完全团队意识到了问题。

　　在分析优步app时，专家发现当用户想要跟别人分摊车费时，服务器返回的回应中包含司机和被邀请分摊用户的唯一识别码。通过这个唯一识别码，研究人员设法通过app的“帮助”功能向优步服务器发出请求，获取了关联用户的私人邮件地址。

　　任何人都可以下载并安装优步司机app，但这款app仅能够通过公司激活的账户被访问。Integrity公司发现这款app可被轻易访问，方法是将参数“isActivated”的值从“false”修改为“true”。获得对司机app的访问权限后，安全专家获悉了司机的姓名、车牌号以及最后一位乘客的信息即行程，而这一切都源于目标司机的唯一识别号码。通过向车辆发出请求并取消订单的方式就能获取这个唯一识别码。此外，研究人员还设法访问了司机行程的完整路径，并将于稍后公布具体详情。

运单信息

运单的完整运行路径

　　研究人员发现的另外一个漏洞可被攻击者用来访问唯一识别码被暴露的用户的整个行程明细，包括司机的详细信息、车费及地理位置。安全专家表示建议优步提供测试账户，让黑客在不必担心账户被封的情况下寻找漏洞。

　　本月初，一名研究人员因在优步WP网站中使用的第三方插件中发现了一个重要的验证绕过问题而获得1万美元的漏洞奖励。

　　E安全/文 转载请注明E安全

　　E安全——全球网络安全新传媒

　　E安全微信公众号： EAQapp

　　E安全客服&投稿邮箱：eapp@easyaq.com