11月26日，烏云漏洞平臺在微博上披露，有白帽子發(fā)現(xiàn)360賬號系統(tǒng)存在“任意用戶密碼修改”漏洞，使用360賬號保存過的電話、短信、記錄以及云盤中的私人文件均有可能被被隨意瀏覽下載。而此漏洞在2012年6月份已被網(wǎng)友爆出過，屬于“設(shè)計缺陷/邏輯錯誤”，也就是說在設(shè)計之初完全可以避免。但不知為何，此漏洞一年內(nèi)被爆出兩次。了解消息后的網(wǎng)友紛紛表示出對360安全品質(zhì)的不信任，若360不能給網(wǎng)民一個清楚的交代，很有可能引發(fā)新一輪360軟件的卸載狂潮。

目前360已確認(rèn)該漏洞存在，但作為互聯(lián)網(wǎng)業(yè)的“安全教主”居然被爆出自身系統(tǒng)設(shè)計存在設(shè)計缺陷，引來不少用戶評論。微博用戶“老綿羊1984”質(zhì)問到：“網(wǎng)民的隱私，安全誰來保證”，ID“運(yùn)籌帷幄”表示“太可怕了”。還有網(wǎng)友調(diào)侃到：“@360技術(shù)支持，需要彈窗提示用戶一下不???”

一直以來，360站在“用戶安全和隱私”的道德制高點上，攻擊其他互聯(lián)網(wǎng)廠商。然而從日前所爆出的漏洞來看，完全可以在設(shè)計之初就避免，這讓360所謂“捍衛(wèi)用戶隱私”的形象一夜之間成為皇帝的新衣。

同類漏洞連續(xù)被爆，專家建議盡快清除數(shù)據(jù)

在對360的相關(guān)漏洞歷史略加調(diào)查后，一條記錄引起了記者注意：就在一年前(2012年)的6月，360就曾在烏云網(wǎng)上被爆出類似漏洞，相關(guān)的漏洞題目、類型，竟然與本次所發(fā)現(xiàn)的驚人地相似!

2012年6月漏洞與2013年11月漏洞概要對比

究竟是東墻補(bǔ)好西墻又塌?還是360真的在同一問題上再次被曝?目前尚不得而知，在獲知該漏洞的存在后，記者第一時間聯(lián)系了從事安全領(lǐng)域的技術(shù)人員，他們分析認(rèn)為，360通行證密碼找回功能存在邏輯設(shè)計缺陷，重設(shè)密碼url中存在可偽造的隨機(jī)碼。此隨機(jī)碼以Uunix時間戳為基準(zhǔn)生成，但并未采用動態(tài)密匙加密，任何掌握此規(guī)律的人都可以據(jù)此破解“重設(shè)密碼”的url，并修改任意賬號的密碼，從而直接進(jìn)入用戶賬戶，訪問所有保存在360賬戶下的資料。這不僅包括可能導(dǎo)致“冠希化”的通訊錄資料和短信往來記錄，更包括用戶的各種賬號和對應(yīng)的密碼信息，進(jìn)而為盜竊、詐騙等大開方便之門，形成惡劣的經(jīng)濟(jì)隱患，堪稱“開門揖盜”。技術(shù)人員稱，出于安全考慮，在問題解決之前，用戶應(yīng)至少清除所有保存在360賬戶中的歷史資料，以避免造成隱私或財產(chǎn)的重大損害。

今天注冊360，明天就變陳冠希

“揭露演藝圈荒淫亂象就靠360啦!!”在對360重大新漏洞的爆料中，網(wǎng)友以這樣的口吻著實調(diào)侃了一番。儼然有“今天注冊360，明天就變陳冠希”的意味。然而，360所存在的這一系統(tǒng)級漏洞，實際危害則遠(yuǎn)不止如此。

看上去360還有可能為反腐敗提供“巨大”的幫助

在微博爆料中，網(wǎng)友笑稱發(fā)現(xiàn)360高管都不用自家產(chǎn)品，乍一看莞爾，細(xì)想之下，卻覺水比想象的要深。一家IT廠商的產(chǎn)品連續(xù)兩年被爆出存在同種漏洞，不僅反映出技術(shù)實力“后腿”，更顯示出態(tài)度上的淡漠——用戶有什么，何必那么費(fèi)心?如此運(yùn)營，令用戶寒心，同行齒冷，如烏云網(wǎng)官方就對360的此次“再爆漏洞”表示：“對于那些只想掩蓋安全漏洞而不是真正解決安全漏洞的廠商來說，烏云君只能是深深的鄙視......”

烏云漏洞報告平臺評論

同時業(yè)內(nèi)人士亦評論，長時間以來，360致力于打造出一種“我即安全”的形象，并通過占領(lǐng)道德高地，大量利用輿論攻訐競爭對手，頗得好處。然而子虛烏有的傳聞畢竟難以服眾，而貨真價實的漏洞才真正說明問題。360將大量精力忙于刁難他人，自身問題卻視而不見，這真的是一家安全廠商么?