OkCupid平台个人信息泄露漏洞分析报告

1. 漏洞概述

本报告详细分析了美国知名交友平台OkCupid存在的多个安全漏洞，这些漏洞可能导致用户敏感信息泄露、身份被冒用等严重安全问题。OkCupid拥有超过5000万注册用户，主要年龄在25-34岁之间，是全球最受欢迎的约会平台之一。

2. 漏洞详情

2.1 移动应用漏洞

2.1.1 WebView组件安全问题

• OkCupid安卓APP(v40.3.1)会开启WebView组件
• WebView加载的远程链接包括：
  • https://OkCupid.com
  • https://www.OkCupid.com
  • https://OkCupid.onelink.me

2.1.2 危险的深度链接

• 存在两种通用样式的深度链接：
  • https://OkCupid.com
  • OkCupid://
• 链接中包含"section"参数，攻击者可构造恶意链接：

  https://www.OkCupid.com/settings?section=<恶意JS代码>
  

2.1.3 反射型XSS漏洞

• XSS注入点位于用户资料设置处：

  https://www.OkCupid.com/settings?section=<value>
  

• section参数可被注入JS代码
• 在APP请求交互时可触发XSS

2.2 敏感信息泄露与身份冒用

2.2.1 XSS攻击流程

1. 构造恶意XSS Payload，包含从攻击者控制端加载jQuery和JS代码
2. 通过深度链接(OkCupid://)启动APP
3. 在section参数处注入恶意JS脚本
4. 发起HTTP GET请求触发漏洞

2.2.2 攻击脚本功能模块

1. steal_token模块

   • 窃取内容：
     • 身份验证Token
     • oauthAccessToken
     • userid
     • 注册邮箱等PII信息
   • 通过调用OkCupid API接口实现
   • 响应包含用户ID和身份验证Token的JSON信息

2. steal_data模块

   • 窃取内容：
     • 个人资料
     • 隐私数据
     • 爱好个性等信息
   • 通过向https://www.OkCupid.com:443/graphql发起HTTP请求实现
   • 请求中包含窃取的用户ID和身份验证Token
   • 响应包含：
     • 个人资料
     • 注册邮箱
     • 性别取向
     • 身高
     • 家庭状况等

3. Send_data_to_attacker模块

   • 向攻击者控制端发送POST请求
   • 包含steal_token和steal_data模块窃取的所有数据

2.2.3 身份冒用风险

• 攻击者可利用窃取的：
  • 身份校验令牌(Authentication token)
  • oauthAccessToken
  • User id
  • userId
• 执行的操作包括：
  • 向其他用户发送虚假信息
  • 更改个人资料
• 限制因素：
  • Cookie设置了HTTPonly属性，无法完全劫持账户

2.3 网站系统漏洞

2.3.1 CORS策略配置错误

• API接口服务器api.OkCupid.com存在不当的CORS策略
• 允许跨源请求
• 攻击者可构造虚假origin(如https://OkCupidmeethehacker.com)发起请求
• 服务器响应包含：

  Access-Control-Allow-Origin: https://OkCupidmeethehacker.com
  Access-Control-Allow-Credentials: true
  

2.3.2 攻击利用方式

1. 从攻击者控制的域名(如https://OkCupidmeethehacker.com)发起请求
2. 受害者已登录OkCupid且身份认证有效时
3. 使用受害者身份(authentication token和user_id)请求：

   https://api.OkCupid.com/1/native/bootstrap
   

4. 可获取的数据包括：
   • 用户个人信息(通过/profile/路径)
   • 用户所发信息(通过/1/messages/路径)

3. 漏洞影响

• 用户敏感信息泄露风险：
  • 个人身份信息(PII)
  • 隐私数据
  • 通信内容
• 身份冒用风险：
  • 发送虚假信息
  • 修改个人资料
• 平台声誉受损

4. 修复建议

1. WebView安全加固

   • 限制WebView加载的域名
   • 禁用不必要的JavaScript执行

2. XSS防护

   • 对section参数进行严格的输入验证和过滤
   • 实施输出编码

3. 深度链接安全

   • 验证深度链接参数
   • 限制深度链接的功能范围

4. CORS策略修正

   • 严格限制允许的origin
   • 避免使用通配符(*)
   • 实现精确的域名白名单

5. Token安全增强

   • 实施短期有效的token
   • 增加token绑定设备/IP等上下文信息
   • 提供token撤销机制

6. 敏感操作保护

   • 对敏感操作实施多因素认证
   • 记录并监控敏感操作

5. 总结

本报告详细分析了OkCupid平台存在的多个安全漏洞，这些漏洞可能导致严重的用户信息泄露和身份冒用风险。随着在线社交应用的普及，保护用户隐私和数据安全变得尤为重要。平台应尽快修复这些漏洞，并建立完善的安全防护体系，以保障用户数据安全。