搜狗浏览器被曝漏洞!搜狗发布声明否认、搜狗浏览器有问题吗

新浪微博、搜狗输入法曝漏洞：数据明文传输

IT之家（www.ithome.com）：新浪微博和搜狗输入法暴露的漏洞：数据明文传输

IT之家1月19日消息，安全软件McAfee近日在其官方博客中写道，新浪微博、搜狗输入法等存在安全漏洞，数据直接使用明文HTTP传输。

据迈克菲研究人员测试，包括新浪微博、搜狗输入法在内的不少应用程序存在明文传输用户个人数据的漏洞，这使得用户的个人信息很容易被黑客截获和利用。

在新浪微博上发送一条新消息，使用Wireshark（一种网络数据包分析软件）捕获微博后端的流量并进行分析，发现如下：

下图显示可以捕获“say hi,(test).”的明文信息。

与此同时，微博私信聊天中也出现了类似的情况。如下图：

通过测试，发现搜狗输入规则会收集用户信息。测试人员通过USB将iPod连接到测试电脑，使用抓包工具Fiddler发现搜狗输入法居然收集了iPod的各种信息。

当连接到Android 设备时，同样的情况仍然存在。

更可怕的是，所有这些信息都是以明文形式传输的。如果用户将设备连接到陌生的移动热点，背后的黑客将很容易获取用户的各种私人信息。

我们也希望各种常用社交软件和高权限输入法的厂商重视用户个人信息的安全，尽快修复现有漏洞。

搜狗被曝泄密门：输入法明文传输用户隐私

近日，搜狗再次陷入泄密事件：全球知名安全公司McAfee Labs近日在其官方博客上表示，其研究人员发现搜狗输入法收集并上传用户设备信息，并使用明文HTTP传输用户个人信息和企业数据，很容易导致信息被黑客拦截。 McAfee Labs表示搜狗输入法的举动令人难以置信，并呼吁其在安全开发周期内修补这些漏洞。很多人还记得2013年搜狗浏览器被曝泄露用户隐私，并因此被起诉并被责令支付30万元赔偿。

据迈克菲实验室介绍，当电脑上安装了搜狗输入法并插入iPod、Android手机等设备时，搜狗输入法就会收集设备信息。迈克菲对搜狗输入法的行为表示不理解，因为输入法作为功能性应用程序，不需要收集此类信息。不过，搜狗并未对这种越权行为做出解释。

更让McAfee担心的是，这些被搜狗输入法黑客入侵的手机上的信息是使用纯文本HTTP传输的，这无疑会吸引黑客拦截这些数据。 “你必须知道，当今世界充满了恶意移动热点。” McAfee认为，以明文形式传输私人信息无疑是一种非常考虑不周的行为，并呼吁搜狗在开发周期内修补该漏洞，以避免更严重的后果。

值得注意的是，这并不是搜狗第一次泄露用户隐私。早在2013年11月，央视等媒体就曝光了搜狗浏览器的漏洞，导致部分用户账户密码等隐私信息泄露。央视记者亲自验证了搜狗浏览器漏洞的整个过程。据悉，本次安全事件涉及公积金、各类电子邮箱、淘宝网、苹果携程、人人网、12306火车票预订网站、部分政府部门网上管理系统、部分高校网站等。

安全厂商360发现搜狗重大漏洞后，第一时间向网友发出预警，提醒用户谨慎处理。然而搜狗的回应却出人意料。其不仅没有直接回应隐私泄露事件，还声称泄露事件是360幕后黑手造成的，并使用主观性极强的词语攻击和诽谤360。这也导致360将搜狗告上法庭，双方告上法庭。

最终，北京第二中级人民法院判决搜狗涉嫌不正当竞争，须向360道歉并支付巨额赔偿。虽然官司败诉，但搜狗并没有从中吸取教训。搜狗输入法泄露隐私的事件让人们对搜狗的产品产生了质疑。业内专家表示，搜狗尚未从浏览器泄露丑闻中汲取教训，希望搜狗今后更加注重用户隐私的保护。

360提示搜狗浏览器漏洞案一审宣判

IT之家（www.ithome.com）：360提示搜狗浏览器漏洞案一审判决

搜狗浏览器被发现存在漏洞，涉及支付宝、银行账户等重要信息。 360公司作为安全软件厂商，有责任及时提醒用户避免损失，却因此招致诉讼。 1月30日，360公布搜狗浏览器漏洞案一审宣判结果。

据悉，该案源于2013年11月，360发现搜狗浏览器存在漏洞，涉及支付宝、银行账户等用户重要信息，并产生重大影响。 360第一时间向国家互联网应急中心和搜狗通报了该漏洞，并未大范围传播。搜狗接到通知后，坚决否认该漏洞的存在。在这种情况下，为了避免用户损失，360只能通过弹窗的方式提示用户修改密码。

期间，提交者也在知名漏洞报告平台“黑云”上报告了该漏洞；而中央电视台、湖南卫视等近百家国内媒体也对搜狗漏洞事件进行了报道。央视报道称，实际测试证实，搜狗浏览器漏洞泄露了大量用户账户。湖南卫视甚至采访了搜狗浏览器用户，证实他们的电脑上存储着数千条搜狗泄露的账户信息。

图1：五云平台搜狗漏洞信息

图2：央视对搜狗漏洞的报道

对于搜狗的行为，360公司及时以专题、弹窗等形式向用户进行提示，让尽可能多的用户了解此事；然而，在赢得用户好评的同时，也引来了搜狗的诉讼。可见，360提示搜狗浏览器存在漏洞一案并非法律与权利之争，而是责任与自身利益的对抗。这是两家公司纠纷的根本原因。

对于本案，法院认为，360作为互联网安全领域的领先公司，将发布相关提醒信息作为日常业务，发布方式应当以有效警示公众风险为目的。

360表示，搜狗漏洞确实存在，相关弹窗内容客观真实。只是建议用户尽快更改密码，比如“呼吁网友及时更改密码，避免损失”。其中，不存在任何诽谤、诽谤搜狗浏览器声誉的语言，也不存在欺骗、诱导用户停止使用搜狗浏览器的行为，也不涉及商业诽谤。

事实上，早在2013年，包括央视在内的国内多家权威媒体和安全机构就曝光了搜狗浏览器的安全漏洞，并明确表示该漏洞可能导致部分用户账户、密码等私人信息泄露。不仅搜狗浏览器存在漏洞，搜狗输入法也存在漏洞，可能导致大量用户的图片、语音、短信等隐私信息被泄露并在网络上公开流传。 2014年6月，五云平台也被曝光。近日，迈克菲实验室也证实搜狗输入法并未进行任何修复，也未做出正面回应。

图3：McAfee Labs爆料搜狗输入法收集用户信息

业内人士认为，作为知名互联网公司，搜狗并未牢固树立安全意识，忽视了用户的网络安全。面对权威安全机构的漏洞通报采取回避态度，就是对用户信任的丧失。在竞争如此激烈的互联网行业，忽视用户权益最终只能让用户“用脚投票”。