-
挖出了大量敏感&成人內容！其實該漏洞烏云很久之前就接到了白帽子的報告，并且及時通知了廠商，但問題至今未得到有效的處理。搜狗輸入法可導致大量用戶敏感信息泄露 http://t.cn/zHpMlvs
6月5日下午消息，今日安全問題反饋平臺烏云通過新浪微博發布消息稱，搜狗輸入法存在可導致大量用戶敏感信息泄漏的設計缺陷。對此搜狗方面回應稱，出現這一問題源于微軟Bing等搜索引擎沒有遵守禁止協議。
烏云今日披露的漏洞信息中稱：“搜狗輸入法信息發送過程存儲了相對應的信息在云端，但由于相應配置及其他原因造成會話信息(圖片、視頻、音頻)泄露”。其中的披露狀態顯示，這一漏洞5月4日已經通知搜狗，并且在5月5日收到確認。
推動此事進一步發酵的是，烏云在公布同時引用了三個被曝光的用戶信息截圖，其中包括不雅照片及身份證件信息等敏感內容。
上述所謂的漏洞，出自搜狗手機輸入法中的“多媒體輸入”功能。借助這一去年5月發布的功能，用戶之間能夠分享圖片、語音、文字等信息，而其原理就是將用戶想要分享的信息，上傳到搜狗服務器中，形成一個可以點擊查看的鏈接。
在這種模式下，任何人知道相關內容的存儲地址，就能點擊查看。例如烏云披露的其中一個網址為：http://pinyin.cn/1VS8MfNgojq。網址成為防止用戶隱私外泄的主要“城墻”，然而這對于搜索引擎來說，翻過去易如反掌。
然而在烏云的報告中指出，由于“不嚴謹造成信息被搜索引擎抓取”。并舉例說以關鍵詞“site:pinyin.cn”搜索，在微軟Bing中能夠得到3700條結果，在Google中能夠得到1120條結果。并且提供了一段在Bing中驗證的代碼。
對此，搜狗官方在接受新浪科技連線時表示，用戶的“多媒體輸入”信息泄漏，與搜索引擎沒有遵守相關robots.txt協議有關。并且指出重點問題處在Bing搜索引擎中，且搜狗已經與Bing一直在溝通解決相關問題。
上述robots.txt協議，是搜索引擎中訪問網站的時候要查看的第一個文件。robots.txt文件告訴蜘蛛程序在服務器上什么文件是可以被查看的。
至截稿時，通過搜索引擎已經不能查看搜狗輸入法“多媒體輸入”中的內容，但是在Bing中還能夠搜索到相應的網址。對于已經泄漏的網址，搜狗方面已經進行了緊急處理，官方也強調用戶上傳的內容不會進行長時間的保留。
至于解決方案，搜狗官方僅表示后續將推出更多安全防護措施。而搜狗手機輸入法這一漏洞的發現者@鎮長，則在提交的漏洞報告中給出修復建議：短信發送時可以帶一組查看碼(如4位字符)，打開鏈接時輸入查看碼才能查看內容。
