V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
danhahaha
V2EX  ›  Apple

淘宝系 App 的客服界面在 Select Photos 权限下可以获取到全部照片,这是利用了什么漏洞吗?

  •  
  •   danhahaha · 48 天前 · 1171 次点击
    这是一个创建于 48 天前的主题,其中的信息可能已经有所发展或是发生改变。

    偶然发现,淘宝系 App (淘宝,天猫,闲鱼)的客服界面有获取全部照片的权限。

    因为一直对淘宝限制相册权限,只允许访问评价的照片,但是前天和客服对话时候,发图片忽然发现点击客服界面的发送图片居然是整个相册的图片!而且没有确认按钮,点照片直接就发过去了,导致我直接点错了一张私人照片发了过去,然后我前后测试了好几次。存在这样的情况:

    淘宝,闲鱼,天猫的评价界面只可以选择上传选定的照片,但是于此同时,打开客服界面的时候,点发送照片或者相册确实整个相册,整个相册!我并没有给这几个 app 整个相册的权限,其他 app 比如京东没有这个问题。

    大家可以测试,我就不发照片了,我想知道这个是 ios 本身的接口?还是淘宝系利用了什么漏洞?

    不管什么情况,这是一个极其严重的问题。即使是 ios 本身功能,那么淘宝客服在用户选择照片时候,没有任何确认预览的情况下直接发送图片极容易导致用户误将私人照片发出去,而且没有删除,撤销。如果是利用漏洞,那么问题就严重了

    AoEiuV020CN
        1
    AoEiuV020CN  
       48 天前   ❤️ 3
    试了,这个相册 ui 一看就是系统提供的,而不是淘宝自己的 ui ,
    也就是说点击“相册”,ios 系统提供一个页面给你选择照片,选中的照片会被传给 app ,app 本次只能看到这一张照片,
    兼顾方便和安全,安卓也有一样的东西,
    danhahaha
        2
    danhahaha  
    OP
       48 天前
    @AoEiuV020CN 原来这样,非常感谢
    zhaidoudou123
        3
    zhaidoudou123  
       48 天前   ❤️ 6
    本身功能
    多查查,v2ex 隔段时间就有一次讨论
    duxiansen
        4
    duxiansen  
       48 天前   ❤️ 1
    这个才是对用户来说最好的做法
    deplivesb
        5
    deplivesb  
       48 天前   ❤️ 1
    v 站一搜一大把,这个叫 Image Picker ,用的系统的接口,求求你了自己能打这么多字问也不愿意自己搜一下
    danhahaha
        6
    danhahaha  
    OP
       48 天前
    @deplivesb 第一,我不是 ios 开发,我不懂这个是什么技术,所以我是用的问号,问大家是不是系统功能。
    第二,我有搜过,没有搜到,所以求求你想一下我为什么能打这么多字而不是自己去搜一下
    dcty
        7
    dcty  
       48 天前   ❤️ 1
    @danhahaha #6
    site:v2ex.com/t iOS 相册 淘宝 ,我不知道你是啥关键字搜索的。
    zjuster
        8
    zjuster  
       48 天前   ❤️ 1
    月经贴了。如果你没搜到,还是需要提升一下搜索能力

    query 淘宝图片

    https://www.v2ex.com/t/713867

    https://www.v2ex.com/t/716982
    littlewing
        9
    littlewing  
       48 天前   ❤️ 1
    其实这种方式才是最好的,而不是现在要么给全部权限,要么给部分,每次有一张新照片需要给权限的时候,都得重复来一次,所以我干脆就全部不给,需要的时候直接打开相册分享到 app
    danhahaha
        10
    danhahaha  
    OP
       48 天前
    原来你们是搜 v 站,我是搜 google ,没有找到原因,直接来 v 站发帖提问,我没想到是很普遍的问题,用了好几年没发现这个问题
    danhahaha
        11
    danhahaha  
    OP
       48 天前
    不管怎么样,这着实吓了我一跳

    而且淘宝客服界面在用户选择照片时候,没有任何确认预览的情况下直接发送图片,我觉得这个是个比较严重问题
    icyalala
        12
    icyalala  
       48 天前   ❤️ 2
    @danhahaha 直接 Google 也行啊,前面几条都是你要的答案:
    https://www.google.com/search?q=iOS+相册+淘宝
    deplivesb
        13
    deplivesb  
       48 天前
    @danhahaha 我想了,就是你有待提高一下你检索信息的能力,而不是归咎于你不是 ios 开发
    cslive
        14
    cslive  
       48 天前
    日经贴,经常看到这个问题
    关于   ·   帮助文档   ·   API   ·   FAQ   ·   我们的愿景   ·   广告投放   ·   感谢   ·   实用小工具   ·   2852 人在线   最高记录 5497   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 22ms · UTC 14:15 · PVG 22:15 · LAX 07:15 · JFK 10:15
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.