Monday, March 3, 2014

Puffchat Fail. By @NinjaLikesCheez

The following content below was produced by @NinjaLikesCheez and mirrored for archiving purposes.
Original Source: http://faptrackr.org/blog/?p=70
-------------------------------------------------------------------
"It's a texting alternative to Snapchat, where you can send self-destruct texts to contacts, great for confidentiality/discreet messages that you want permanently erased." - Michael, CEO -developer of Puffchat. "Everything is secure guys, and phone numbers aren't required for registration like Snapchat." - Michael. Image © Puffchat. Puffchat popped up on my Facebook Timeline this week with the claim of being a 'secure' alternative to Snapchat. It has a nice user base for what it is with the dev claiming over 11,000 users... not bad, but is it secure?

Puffchat's registration asks for three pieces of information - Email, Password, & your Date of Birth. If these are acceptable it then asks for your desired username & access to your contacts. A lot of applications these days ask for access to your contacts, yet a lot handle your data incorrectly. One of the first things Puffchat does is upload your address book (via HTTP) to their 'secure' severs, along with some registration data and a unique device key to link the account to your phone. The application communicates with a REST API hosted on http://www.puffchat.me/ and has a couple of modules that do various operations; every request sent from the app has a key argument that holds a secret (not-so-secret) key. We all know you can't keep a secret key secret in a binary, you can try and hide it but not only is it pretty futile, in this case it wasn't done at all.So Secret. Much InfoSEC.
So Secret. Much key. Very hidden.

Turns out that searching for anyone gives you their registered username (not bad), birthday (wait what?), and registered email (which is shown in the app under their username). So by searching for a user you get three really nice pieces of information about them, and a lot of people still use their birthdays as their PINs, passwords, or security questions.
{"success":true,"data":{"user_name":"test","birthday":"1980-02-20","email":"***@***.***"}}
Not only that, but you can do almost any operation in the API on any account without access to the account or local access to the device . Proof? Well you can go ahead and send a friend request to yourself from any account you want - the CEO in this case.
POST puffchat.me/

key -> dl81Vh2uorfNdj2Rt2M4EylW91uUsQRZwhQ99g7K0MRXeMYePS
moduleName -> addFriendRequest
userName -> michael
userEmail -> michael***@***.*** 
friendName -> ***@***.***
friendEmail -> ***@***.***
Michael Puffs
Turns out you can send them on other's behalf too

Here comes the kicker;

Nothing is deleted automatically (even when the message is read). It's all their in the API responses.
{"success":true,"data":[{"id":"***","sender":"***","sender_email":"***@***", "receiver":"***","receiver_email":"***@***", "text":"hi babe send me back","filename":"***","time":"***", "duration":"10","status":"Read","is_taken_screenshot":"0"}
You can clearly see the server knows the message has been read and yet it remains; it's downloaded to your phone every time you make a request for your messages, the client just doesn't show it to you... and yes, that includes the nude dickpics you've been sending to that account. To top is all off, you can visit the pictures publicly and see via their site - nice! This is an incredible breach of privacy, and a blatant lie to their customers. It's 'secure' but no SSL, it's 'secure' but I can control your account remotely, it's 'secure' but I can see your junk on the web by visiting a public page. Proof?

Here you go:

  lolpuffchat
Obviously censored to protect the poor guys pride.

In the interest of responsible disclosure I did try and contact the dev multiple ways, I was either ignored or not replied to and I feel users deserve to know what's happening with their data. It's only saving grace is that it appears to delete the message logs if you manually clear your feed, still a far way off being secure.

31 comments:

  1. Even after the SnapChat thing, you'd think people would be more careful...

    ReplyDelete
    Replies
    1. Saya IBU WINDA ingin berbagi cerita kepada anda semua bahwa saya yg dulunya cuma seorang TKW di SINGAPURA jadi pembantu rumah tangga yg gajinya tidak mencukupi keluarga di kampun,jadi TKW itu sangat menderita dan di suatu hari saya duduk2 buka internet dan tidak di sengaja saya melihat komentar orang tentan AKI SOLEH dan katanya bisa membantu orang untuk memberikan nomor yg betul betul tembus dan kebetulan juga saya sering pasan nomor di SINGAPURA,akhirnya saya coba untuk menhubungi AKI SOLEH dan ALHAMDULILLAH beliau mau membantu saya untuk memberikan nomor,dan nomor yg di berikan AKI SOLEH meman betul2 terbukti tembus dan saya sangat bersyukur berkat bantuan AKI SOLEH kini saya bisa pulang ke INDONESIA untuk buka usaha sendiri,,munkin saya tidak bisa membalas budi baik AKI SOLEH sekali lagi makasih yaa AKI dan bagi teman2 yg menjadi TKW atau TKI seperti saya,bila butuh bantuan hubungi saja AKI SOLEH DI 082-313-336-747- insya ALLAH beliau akan membantu anda.Ini benar benar kisah nyata dari saya seorang TKW trimah kasih banyak atas bantuang nomor togel nya AKI wassalam.


      KLIK DISINI BOCORAN TOGEL HARI INI




















      Saya IBU WINDA ingin berbagi cerita kepada anda semua bahwa saya yg dulunya cuma seorang TKW di SINGAPURA jadi pembantu rumah tangga yg gajinya tidak mencukupi keluarga di kampun,jadi TKW itu sangat menderita dan di suatu hari saya duduk2 buka internet dan tidak di sengaja saya melihat komentar orang tentan AKI SOLEH dan katanya bisa membantu orang untuk memberikan nomor yg betul betul tembus dan kebetulan juga saya sering pasan nomor di SINGAPURA,akhirnya saya coba untuk menhubungi AKI SOLEH dan ALHAMDULILLAH beliau mau membantu saya untuk memberikan nomor,dan nomor yg diberikan AKI SOLEH meman betul2 terbukti tembus dan saya sangat bersyukur berkat bantuan AKI SOLEH kini saya bisa pulang ke INDONESIA untuk buka usaha sendiri,,munkin saya tidak bisa membalas budi baik AKI SOLEH sekali lagi makasih yaa AKI dan bagi teman2 yg menjadi TKW atau TKI seperti saya,bila butuh bantuan hubungi saja AKI SOLEH DI 082-313-336-747- insya ALLAH beliau akan membantu anda.Ini benar benar kisah nyata dari saya seorang TKW
      trimah kasih banyak atas bantuang nomor togel nya AKI wassalam.


      KLIK DISINI BOCORAN TOGEL HARI INI





















      Delete
  2. Hah. that's so sad on the dev's part. It's amazing how so many people claim to be making 'secure' apps while they either don't really understand what it means truly or they don't care as much to implement it properly.
    And one would think that atleast they would have ears for people trying to help them by exposing such security flaws. :/

    ReplyDelete
  3. This is worse than Virus Shield, at least that didn't collect any data from you.

    ReplyDelete
  4. Hello you have any other news on JB for the Apple TV 3 thank you very much

    ReplyDelete
  5. This comment has been removed by the author.

    ReplyDelete
  6. LOVE u Man!!!Thanks For the good word!!!!UR a Gentleman&scholar!!!!this is Fressco!!

    ReplyDelete
  7. http://middleast-sa.com/%D9%83%D8%B4%D9%81-%D8%AA%D8%B3%D8%B1%D8%A8%D8%A7%D8%AA/
    http://middleast-sa.com/%D8%A7%D9%84%D8%B9%D8%B2%D9%84-%D8%A7%D9%84%D9%85%D8%A7%D8%A6%D9%8A/
    http://middleast-sa.com/%D8%B1%D8%B4-%D9%85%D8%A8%D9%8A%D8%AF%D8%A7%D8%AA/
    http://middleast-sa.com/%D9%86%D9%82%D9%84-%D8%A3%D8%AB%D8%A7%D8%AB/
    http://middleast-sa.com/%D8%AA%D9%86%D8%B8%D9%8A%D9%81-%D8%A7%D9%84%D9%85%D9%86%D8%A7%D8%B2%D9%84/
    http://middleast-sa.com/%D8%AA%D8%B1%D9%85%D9%8A%D9%85-%D8%A7%D9%84%D9%85%D9%86%D8%A7%D8%B2%D9%84/

    ReplyDelete
  8. obat kelamin keluar nanah Gejala awal penyakit kencing nanah bisa dilihat pada masa 1 hingga 3 minggu setelah terinfeksi pada perempuan. Sedangkan pada pria, gejala muncul dalam rentang waktu yang lebih cepat yaitu 2 hingga 7 hari. untuk cara pemesanana silahkan kunjung baca disini
    Mengobati Kutil Pada Kemaluan Tapi yang menjadi permasalahanya karena beberapa metode pengobatan ini membutuhkan biaya mahal, selain itu juga belum tentu menjamin penyakit ini tidak timbul kembali. untuk cara pemesanana silahkan kunjung disiniObat Kutil Di Sekitar Kelamin Ekstrak obat herbal ini dapat dengan mudah dicerna tubuh dan menyembuhkan secara alami dari dalam, tanpa efek samping seperti pengobatan kimia lainya. untuk cara pemesanana silahkan kunjung blog ini
    Menghilangkan Kutil Di KemaluanSebagai penambahan, diduga hal yang menjadi penyebab munculnya kutil pada uretra pria adalah karena rasa nyeri yang terjadi pada saat buang air kecil. Saat ini juga sudah banyak obat dan perawatan yang dapat dipilih penderita, namun tidak semua dari obat dan perawatan itu dapat efektif menyembuhkan secara total. untuk cara pemesanana silahkan kunjung situs kami

    ReplyDelete
  9. لا داعى للقلق وانت تتعامل مع شركة اركان المملكه للتنظيف والمكافحه والتسليك
    وغير ذالك من كافه انواع التنظيف فى المملكه السعوديه باكملها اذا
    كل ما عليكم هو زياره صفحتنا للتطلع على اقل الاسعار المتاحه
    والتى تفى احتياجاتكم الخاصه
    شركة اركان المملكه
    شركة كشف تسربات المياه بالدمام
    تسليك مجارى بالدمام
    شركة تنظيف بالدمام
    شركة تنظيف شقق بالدمام
    شركة مكافحة حشرات بالدمام
    شركة كشف تسربات المياه بابها
    شركة تسليك مجارى بابها
    شركة مكافحة حشرات بابها
    شركة تنظيف بابها
    شركة تنظيف فلل بابها
    شركة تنظيف منازل بابها
    شركة كشف تسربات المياه بالرياض
    شركة نقل عفش بالرياض
    شركة رش مبيدات بالرياض
    شركة تنظيف منازل بالرياض
    اتصلوا بنا دائما تجدونا فى كل وقت وكل مكان
    لاننا نتعامل بمنتهى الدقه والفعاله والاهميه الكبيره مع شركة
    اركان المملكه لاداعى للقلق نحن معك دائما

    ReplyDelete
  10. شركة تعاون نجد هي افضل شركة تنظيف بالرياض وللجميع الخدمات العامه التي تندرج تحت بند النظافه العامه لدينا كثير من الاعمال التي تشهد لنا ولقوة الاعمال التي تخرج من شركتنا تعاون نجد هي الافضل علي الاطلاق في المملكه العربيه السعوديه  بما تمتلك من عماله وافضل المواد الخام للتنظيف وبالاضافه الي المعدات الحديثه والعماله المدربه علي النظافه بشكل كامل واليكم بعض الاعمال التي تعمل في مجالها شركة تعاون نجد 
    شركة تنظيف منازل بالرياض
    افضل شركة تنظيف منازل بالرياض
    افضل شركة تنظيف منازل
    افضل شركة تنظيف مساجد
    شركة تنظيف مساجد بالرياض
    افضل شركة تنظيف مساجد بالرياض
    افضل شركة تنظيف موكيت بالرياض
    شركة تنظيف موكيت بالرياض
    شركة تنظيف فرش
    شركة تنظيف سجاد بالرياض
    شركة تنظيف ستائر بالرياض
    شركة تنظيف بالرياض
    افضل شركة تنظيف بالرياض
    تعاون نجد-نظافه - مكافحة حشرات - نقل اثاث

    ReplyDelete