如果你想拍出自己最丑陋的一面，請把手機給你的男友；如果你想拍自己最美好的一面，請用GoPro。

自從手機內置攝像頭把大部分數(shù)碼相機放進了儲藏室后，很多人忽略了手機拍照的瓶頸——攝像頭長手機里面， 延展性有很大的問題，在角度和位置上必須做出一些妥協(xié)，明顯骨(shi)灰(bi)級自拍愛好者無法忍受自身諸如手不夠長，柔韌性不夠好等缺陷。GoPro 因此而誕生，可以說是非常偉大的產(chǎn)品，公司也隨之上市，根據(jù)去年末的數(shù)據(jù)，Gopro 第四季度營收高達6.34億，是第三季度的兩倍。但是一周前，誰都沒想到GoPro的用戶wifi密碼竟然是明文保存且可以輕易被獲取到。

Gopro提供了一個app給你使用，通過這個app你可以無線連接到GoPro并讓你的手機操作各種功能，包括拍照，拍攝，查看SD卡上的資源，發(fā)郵件，轉發(fā)到facebook等等。 其通信使用的是需要密碼的wifi協(xié)議， 這里就出現(xiàn)一個需求——密碼需要設置。為了重新設置WiFi設置，需要按照GoPro網(wǎng)站 http://gopro.com/support/articles/wi-fi-name-password上的要求，一直點擊“next”到“finish”。之后就會有一個鏈接，讓你下載一個zip文件。

這個文件解壓縮后會有一個settings.in的文件，里面包含了用戶WIFI的用戶名和明文密碼, 這里已經(jīng)帶來了一個很大的安全隱患了：GoPro擁有你所有的wifi密碼的明文信息。 貌似由于注意力被轉移了，GoPro并沒有對這一點做出回應。

如果只是這樣的一個安全隱患，那還不能叫做漏洞， 我們來看一下下載的鏈接。

上面粗體字的部分，看上去像是一個用戶id似的變量， 把這個變量改一下如何？  咦，又下載了一個zip文件，而且這個文件包含的不是自己的密碼信息，而是別人的。

于是就簡單了，寫一個小python程序跑一陣，就可以輕松獲得數(shù)百名用戶的信息。 整個POC的過程持續(xù)了很短的時間， GoPro官方?jīng)]有任何限制用戶對這些zip文件的訪問。

這個漏洞理論上可以造成大量用戶wifi密碼被盜， 建議使用GoPro的用戶將使用過的wifi密碼都去更改一下。

如何修復這個漏洞呢？ 除了對url上這個id變量進行加密， 還可以限制用戶對文件的訪問，做到雙保險， 使用類似機制的公司可以借鑒一下。

該漏洞最早由llya chemyakov 與3月1日發(fā)布， 360播報在4日進行了轉載。

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權禁止轉載。詳情見轉載須知。