漏洞总结 漏洞概述 Meesho Android 应用程序（版本 27.3）存在严重的加密不当（Improper Encryption）漏洞。具体表现为： 1. 弱密钥生成：应用程序使用过时的 哈希算法生成加密密钥，且密钥派生过程缺乏盐值（salt）和迭代，导致密钥可预测，易受暴力破解或预计算攻击。 2. 缺乏完整性验证：加密负载（由 Base64 编码的 IV 和密文组成）未包含任何完整性验证机制（如 HMAC 或 AES-GCM）。 3. 后果：攻击者可以拦截并修改网络流量中的密文而不会被检测到，导致敏感请求参数被未授权修改。此外，若后端服务器对加密响应返回不同的错误，攻击者可能利用“填充预言机攻击”（padding oracle attack）解密敏感数据或伪造有效的加密消息。 影响范围 受影响应用：Meesho Android Application 受影响版本：27.3 修复方案 1. 增强密钥派生：停止使用 MD5，改用更安全的密钥派生函数（如 PBKDF2, scrypt, Argon2），并引入随机盐值和迭代次数。 2. 实施完整性校验：使用认证加密模式（如 AES-GCM）或在加密数据上附加消息认证码（HMAC），以防止密文被篡改。 3. 遵循安全标准：遵循 OWASP Mobile Top 10 (M5: Insufficient Cryptography) 和 MASVS 指南（MSTG-CRYPTO-3 和 MSTG-CRYPTO-4）进行修复。 POC/利用代码 页面中未直接包含具体的代码块，但提供了相关的 GitHub 仓库链接，其中可能包含利用代码：