如果一个普通公司的APP或者网站有漏洞，其实是很正常的事情。但是如果有人告诉你FreeBuf或者Wooyun有漏洞，那么大家脑子里的反应一定是“清理一下，大新闻”！BlackHat大会即将召开，作为全球最著名的黑帽安全大会自然吸引了众多人的关注。BlackHat（世界黑帽大会）2016APP可以让与会者查看自己的注册信息、会议安排、消息通知等一系列会议信息。值得注意的是，BlackHat2016APP有两个非常奇葩的逻辑漏洞，这两个漏洞在IOS和AndroidAPP中都可以重现。下面就让小编为大家分析一下这两个逻辑漏洞吧。漏洞分析邮箱双重注册漏洞：一般大家在网上通过邮箱注册的时候都会有一个验证，主要用来区分邮箱是否已经注册过互联网账号，但是BlackHat并没有遵循常规！假设用户A使用他自己的电子邮件地址注册了一个blackhat2016帐户。这时用户B不想花钱买大会门票，于是用用户A的邮箱注册了一个BlackHat2016账号。也就是说，黑客可以使用注册过的邮箱账号重新注册BlackHat账号。我画个图给你看。事实上，这只是一个例子。有多种方法可以利用此漏洞。请你自己拿主意。Cookie验证漏洞：一般来说，当大家修改密码后，之前的cookie值就不能再使用了，需要用户重新登录账户。BlackHat似乎对自家APP的安全性很有信心，所以用户修改密码后，之前的cookie值仍然可以使用。卧槽？！是的，就是这样。解释清楚，假设A的账号被B盗用，登录到B的手机上。此时，A重新设置了自己的黑帽账号密码。但只要B不退出A的账号，B总能查看到A的Black账号的所有信息。弱弱的问下BlackHat，APP传输数据过程中不能添加session吗？我会继续用图来演示。参考http://www.infosecurity-magazine.com/news/official-black-hat-usa-app-allows/https://blog.lookout.com/blog/2016/07/29/black-hat-app/
