摘要: 從最近幾年開始，做平臺的公司都流行起Open API。這是一個非常好的理念，也受到廣大開發(fā)者的歡迎。如今，開發(fā)一款軟件，你可以很容易地集成微博、微信、人人網等流行社交媒介的分享功能，做一個社交應用變得越來越簡單。
主流社交媒介要集成到第三方應用中，最重要的入口就是安全便捷的授權認證系統(tǒng)。讓用戶在享受一鍵分享和各種社交樂趣的同時，又不用擔心帳號安全和隱私泄露等問題。而對于一些有特殊目的的組織或個人來說，攻占這個授權認證系統(tǒng)意味著自己獲取了信息傳播的入口和渠道，數(shù)量龐大地社交入口往往能帶來巨大的社會效應。所以，這個入口就成了軟件安全攻防雙方的必爭之地。
而本文所要講的就是當前最為流行的新浪微博Android客戶端SSO授權認證入口的一個安全缺陷。此缺陷使得第三方APK在一定條件下可以不通過授權，在不需要人為操作的情況下就可以操作Android手機用戶的微博。包括關注、評論、發(fā)微博等OpenAPI中提供的功能。
閱讀全文