摘要: 从最近几年开始，做平台的公司都流行起Open API。这是一个非常好的理念，也受到广大开发者的欢迎。如今，开发一款软件，你可以很容易地集成微博、微信、人人网等流行社交媒介的分享功能，做一个社交应用变得越来越简单。
主流社交媒介要集成到第三方应用中，最重要的入口就是安全便捷的授权认证系统。让用户在享受一键分享和各种社交乐趣的同时，又不用担心帐号安全和隐私泄露等问题。而对于一些有特殊目的的组织或个人来说，攻占这个授权认证系统意味着自己获取了信息传播的入口和渠道，数量庞大地社交入口往往能带来巨大的社会效应。所以，这个入口就成了软件安全攻防双方的必争之地。
而本文所要讲的就是当前最为流行的新浪微博Android客户端SSO授权认证入口的一个安全缺陷。此缺陷使得第三方APK在一定条件下可以不通过授权，在不需要人为操作的情况下就可以操作Android手机用户的微博。包括关注、评论、发微博等OpenAPI中提供的功能。
阅读全文