浏览器崩溃别急着上传Crash Reports，DMP泄漏隐私，各种敏感信息，明文密码，浏览器历史浏览网址记录。

浏览器崩溃别急着上传Crash Reports，DMP泄漏隐私，各种敏感信息

zyymartin | 2013-07-04 17:49

是什么浏览器呢？你猜~

某浏览器崩溃了，反馈到问题反馈的帖子中附上一个崩溃日志，可是您知道吗？在上传崩溃日志的时候您的隐私正在泄漏！

随便在问题反馈专贴下载了某用户的Crash Reports：

最下面那个就那个最大的，我们分析那个DMP，我们用TXT格式打开，您的上网历史，提交的密码等等等你等都来了

保护那位用户的隐私关键部

1.POST数据看到了（看到了吗cookies!cookies!，别窃喜，这边cookies我可不会让你全不知道)位做和谐处理

2.QQ号码等重要信息泄漏

3.明文显示密码（关键部位和谐了）

附：随便分析出一点浏览记录

note.youdao.com/web/list?notebook=/6E8B**ECA79B40

xicanliyi.kegood.com

www.yk216.com

note.sdo.com/my#/note/list?_=1369811*****&start=20&limit=**

http://www.liebao.cn/go/security/

http://www.xiaa.net/

http://www.xiaa.net/

jingyan.baidu.com/article/cd4c2979aed54**02a.html

www.cnblogs.com/ruxpinsp1/archive/2008/05/06/font-in-front-end-develop****2.html

顺便说一下，已经添加那个童鞋的QQ证实过了~就是他本人的信息哦，你怎么看，乌云骚年~

相关讨论：

1#

0x0F (你看不见我)????(人脸无?) | 2013-07-04 17:53

建议给予雷劈

2#

zyymartin | 2013-07-04 17:55

@0x0F">0x0F 有没有发现各种坑，你以后还敢发送DMP吗？~

3#

xsser (十根阳具有长短!!) | 2013-07-04 17:56

劈了

4#

疯狗 (谁淫荡啊谁淫荡) | 2013-07-04 17:57

我擦勒

5#

园长 (你在身边就是缘，缘分写在数据库里面。) | 2013-07-04 17:57

@0x0F">0x0F 就算你不提交人家一样泄漏你的隐私，屌丝的隐私又不值钱，泄漏就算了吧，还能把人家怎么滴。

6#

zyymartin | 2013-07-04 17:58

@xsser 可怜的哇哇，目测那个问题反馈板块有很多人上传DMP要给他们一点提示才好，要不然各种姿势泄漏

7#

疯狗 (谁淫荡啊谁淫荡) | 2013-07-04 17:59

@园长 关键是。。。这个有证据啊，有图有真相有证明

8#

zyymartin | 2013-07-04 17:59

@疯狗 有奖励不~求奖励

9#

疯狗 (谁淫荡啊谁淫荡) | 2013-07-04 18:13

@zyymartin 呃，我点击感谢了。。

10#

xsser (十根阳具有长短!!) | 2013-07-04 18:25

@zyymartin 我也先人肉感谢了

11#

gainover (">_< ' / & \ 看啥，没见过跨站字符么) | 2013-07-04 19:20

这个竟然可以随便下载别人上传的dmp文件！！首先论坛权限设置就有问题啊！

12#

zyymartin | 2013-07-04 19:56

@gainover 很多浏览器论坛在用户反馈崩溃的时候都要求上传COOKIES的，跑到智能填表的位置的时候崩溃了密码就被明文保存了下来，然后对外公开，我们来分析一下，全部拿下

13#

zyymartin | 2013-07-04 20:06

@gainover 不对打错了不是cookies是dump

14#

xsser (十根阳具有长短!!) | 2013-07-04 21:47

话说啊，浏览器崩溃就应该是内存全部上传，内存里就会包含cookie啊，因为要进行debug啊

15#

zyymartin | 2013-07-05 06:42

@xsser 这么说咱们的浏览器浏览记录啊甚至有可能是QQ聊天记录全部都要都要上传

16#

zyymartin | 2013-07-05 06:46

@xsser 而且，明文显示密码呢·····

17#

xsser (十根阳具有长短!!) | 2013-07-05 10:39

@zyymartin 内存里应该不会包括聊天记录的 密码必须是明文的啊 因为它这个是客户端的 不是服务端的

18#

zyymartin | 2013-07-05 10:49

@xsser 恩恩，我想厂商也不是有意而为之的，这是分析BUG的本来的需要，但是会有暴露一点隐私的风险，这点应该在用户上传DUMP之前有告知，用户要知道有这个风险而不是蒙在鼓励不知道，用的这个例子嘛，只能说这个娃太悲催了，一抓抓到这么多信息。

19#

xsser (十根阳具有长短!!) | 2013-07-05 10:57

@zyymartin 对滴

20#

horseluke (微碌) | 2013-07-05 12:15

log或者debug信息泄露敏感信息，是个在程序员圈子内常见但基本很少留意过的问题

我自己也遇过，搞笑的是，写log的代码还是自己写的...最后在论坛上将附件的查看权限给提高到200才勉强阻止了进一步的发展......-_-||

21#

核攻击 | 2013-07-05 15:06

这个“隐私泄露”现象比较“正常”，也难以避免，程序员毕竟需要当时数据进行调试。