夜想@土芒果社/少年ウィンド
@shounenwind
Tue, Mar 12, 2019 4:00 PM
7
2
HITCON ZeroDay - 漏洞細節 - ZD-2019-00204 - 噗浪 匿名發表文章含有可...
掰噗~
@baipu
說
Tue, Mar 12, 2019 4:00 PM
原來如此
凛BOT@ｻｲﾎﾞｰｸﾞちゃん
@moka_rin
說
Tue, Mar 12, 2019 4:00 PM
凜醬練了一隻弓箭手，一直捨不得轉職呢
H_Bot1
@gamimygod
Tue, Mar 12, 2019 4:01 PM
APP 有官方當然是用官方的啊！
Nightfeatherᵧ
@featherance
Tue, Mar 12, 2019 4:01 PM
阿唯🌚ドーンだYO
@yui_mitsuki
Tue, Mar 12, 2019 4:01 PM
是說我剛剛去點了幾個舊噗還是看得到表情關鍵字說
維斯坦茲@復職
@JLChnToZ
Tue, Mar 12, 2019 4:02 PM
為甚麼要用Healing
直接用API也行啊
機器狼🤖AI化測試中
@KMN_BOT
說
Tue, Mar 12, 2019 4:02 PM
(✪ω✪)（看得很專心）
機器狼🤖AI化測試中
@KMN_BOT
說
Tue, Mar 12, 2019 4:02 PM
XD（模仿表情）
夜：大家都辛苦了
@seed1991xg
Tue, Mar 12, 2019 4:02 PM
新的才能修吧
阿唯🌚ドーンだYO
@yui_mitsuki
Tue, Mar 12, 2019 4:03 PM
那這樣這個漏洞根本沒修好啊
阿唯🌚ドーンだYO
@yui_mitsuki
Tue, Mar 12, 2019 4:03 PM
漏洞就是應該要把所有相關的全幹掉才能叫修好
泥馬٩(ˊᗜˋ*)وアルパカ
@e12813726
Tue, Mar 12, 2019 4:03 PM
是後來把作法改掉並沒有改前例導致不會再度出現嗎XDDD
夜想@土芒果社/少年ウィンド
@shounenwind
Tue, Mar 12, 2019 4:03 PM
維斯坦茲@復職
: 比較好示範吧
阿唯🌚ドーンだYO
@yui_mitsuki
Tue, Mar 12, 2019 4:04 PM
只有新的不會發生叫修一半
乾太₍₍ ◝(･◡･)◟ ⁾⁾
@huevo235
Tue, Mar 12, 2019 4:05 PM
阿唯🌚ドーンだYO
@yui_mitsuki
Tue, Mar 12, 2019 4:07 PM
阿唯🌚ドーンだYO
@yui_mitsuki
Tue, Mar 12, 2019 4:07 PM
我剛開了一個昨天發的噗……沒修 R
阿唯🌚ドーンだYO
@yui_mitsuki
Tue, Mar 12, 2019 4:08 PM
前面還有個 emo9 的
阿唯🌚ドーンだYO
@yui_mitsuki
Tue, Mar 12, 2019 4:10 PM
阿唯🌚ドーンだYO
@yui_mitsuki
Tue, Mar 12, 2019 4:10 PM
真的沒修 XD
維斯坦茲@復職
@JLChnToZ
Tue, Mar 12, 2019 4:18 PM
不過我覺得啦
表情符號Id也只能縮減比對範圍而已
因為其實即使沒有那個其實也能逐一黑名單測試是誰啊
阿唯🌚ドーンだYO
@yui_mitsuki
Tue, Mar 12, 2019 4:20 PM
黑名單更早就修了
阿唯🌚ドーンだYO
@yui_mitsuki
Tue, Mar 12, 2019 4:20 PM
另外通報的最後一點，利用黑名單來確認偷偷說作者的身份，這一部份已經於 2019/2/13 修正了，無法再利用這個漏洞來確認匿名者身份了
維斯坦茲@復職
@JLChnToZ
Tue, Mar 12, 2019 4:21 PM
所以即使黑名單也不會使匿名噗消失?
阿唯🌚ドーンだYO
@yui_mitsuki
Tue, Mar 12, 2019 4:21 PM
照噗浪官方在裡面的回應看起來是這樣
阿唯🌚ドーンだYO
@yui_mitsuki
Tue, Mar 12, 2019 4:21 PM
不過我沒試也懶得試 (河道上根本很少偷偷說
維斯坦茲@復職
@JLChnToZ
Tue, Mar 12, 2019 4:27 PM
沒修好啊 (蓋章
維斯坦茲@復職
@JLChnToZ
Tue, Mar 12, 2019 4:52 PM
其實樓上們有沒有想過修好的地方不是偷偷說而是搜尋
夜想@土芒果社/少年ウィンド
@shounenwind
Tue, Mar 12, 2019 4:54 PM
夜想@土芒果社/少年ウィンド
@shounenwind
Tue, Mar 12, 2019 4:59 PM
我只是覺得在意外的地方看到我的APP截圖滿有趣的
阿唯🌚ドーンだYO
@yui_mitsuki
Tue, Mar 12, 2019 5:31 PM
修搜尋跟沒修不是一樣……
如果是自己河道上的人點個幾次就可以知道是誰了
夜想@土芒果社/少年ウィンド
@shounenwind
Tue, Mar 12, 2019 5:33 PM
他的漏洞是利用搜尋，不是利用搜尋就抓到的話就算了
夜想@土芒果社/少年ウィンド
@shounenwind
Tue, Mar 12, 2019 5:34 PM
而且那種混亂邪惡的噗都會被轉到爆
阿唯🌚ドーンだYO
@yui_mitsuki
Tue, Mar 12, 2019 5:35 PM
這樣有修跟沒修完全一樣啊
EVER-
@EVERBLUE
Tue, Mar 12, 2019 5:36 PM
覺得找到的也是厲害
維斯坦茲@復職
@JLChnToZ
Tue, Mar 12, 2019 5:40 PM
ಠ_ಠ - 測試
神奇小沙箱
夜想@土芒果社/少年ウィンド
@shounenwind
Tue, Mar 12, 2019 5:56 PM
阿唯🌚ドーンだYO
: 以通報內容來說是修好了沒錯啊(?
阿唯🌚ドーンだYO
@yui_mitsuki
Tue, Mar 12, 2019 6:02 PM
通報過後我們已經立即移除偷偷說內的自訂表情符號關鍵字
移除匿名訊息內的表情符號關鍵字資訊，測試完成及程式上線
他這兩句會讓人以為匿名噗裡的東西也清掉了 R
阿唯🌚ドーンだYO
@yui_mitsuki
Tue, Mar 12, 2019 6:04 PM
Tue, Mar 12, 2019 6:04 PM
如果是我要修的話應該還會順便讓 API 判斷是不是匿名噗，如果是就把 raw 裡的全用
[
emoji
]
替換掉
夜想@土芒果社/少年ウィンド
@shounenwind
Tue, Mar 12, 2019 6:41 PM
Tue, Mar 12, 2019 6:42 PM
阿唯🌚ドーンだYO
: 應該是這樣比較合理沒錯
夜想@土芒果社/少年ウィンド
@shounenwind
Wed, Mar 13, 2019 5:27 AM
看來都改掉了
阿唯🌚ドーンだYO
@yui_mitsuki
Wed, Mar 13, 2019 6:01 AM
原來一開始改的只有發噗的沒改回應 (๑´•.̫ • `๑)
載入新的回覆
直接用API也行啊
表情符號Id也只能縮減比對範圍而已
因為其實即使沒有那個其實也能逐一黑名單測試是誰啊
如果是自己河道上的人點個幾次就可以知道是誰了
他的漏洞是利用搜尋，不是利用搜尋就抓到的話就算了而且那種混亂邪惡的噗都會被轉到爆這樣有修跟沒修完全一樣啊神奇小沙箱移除匿名訊息內的表情符號關鍵字資訊，測試完成及程式上線
他這兩句會讓人以為匿名噗裡的東西也清掉了 R
[emoji]替換掉