之前報(bào)道過三大運(yùn)營商流量計(jì)費(fèi)系統(tǒng)的漏洞，這個漏洞相對比較隱蔽，而目前曝光的有關(guān)聯(lián)通部分客戶端的漏洞就比較低級了，一旦被黑客發(fā)現(xiàn)，會輕易對用戶會造成嚴(yán)重?fù)p失。

　　根據(jù)漏洞發(fā)現(xiàn)者惡人毛透露，聯(lián)通的沃流量、沃郵箱等Android客戶端可能被用戶免密碼登陸，主要原因出在客戶端本身的一鍵登錄功能。無需輸入密碼，可以看出原理是利用驗(yàn)證手機(jī)SIM卡是否有效的方式實(shí)現(xiàn)的，于是該作者突發(fā)奇想，如果改變SIM卡手機(jī)號會怎么樣？

　　于是該發(fā)現(xiàn)者利用xposed+改號軟件，將SIM卡手機(jī)號碼改成任意號碼，修改后同樣能通過驗(yàn)證，比較簡單。像18577777777，18566666666這樣的號碼都能登陸。并且注冊賬號時候必須注冊的郵箱也能成功同步過來，包含歷史郵件，這樣，就會對其他用戶造成不可估量的損失了。而且經(jīng)驗(yàn)證，完全可以通過抓包抓取到郵箱的POP3密碼。

　　可以看出整個過程唯一的技術(shù)手段就是更改SIM卡手機(jī)號，而這通過軟件手段也可以簡單實(shí)現(xiàn)，顯然聯(lián)通方面對客戶端的意見登陸功能并沒有做足夠的安全驗(yàn)證措施，屬于明顯的低級漏洞。

小編在這里希望聯(lián)通能完善相關(guān)客戶端，保障用戶信息安全。