漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-031306
漏洞标题：腾讯微信奇葩漏洞劫持朋友圈好友打开指定网站（或许还可以XSS、钓鱼）
相关厂商：腾讯
漏洞作者： 核攻击
提交时间：2013-07-19 15:54
修复时间：2013-10-17 15:55
公开时间：2013-10-17 15:55
漏洞类型：设计错误/逻辑缺陷
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-07-19： 细节已通知厂商并且等待厂商处理中
2013-07-19： 厂商已经确认，细节仅向厂商公开
2013-07-22： 细节向第三方安全合作伙伴开放
2013-09-12： 细节向核心白帽子及相关领域专家公开
2013-09-22： 细节向普通白帽子公开
2013-10-02： 细节向实习白帽子公开
2013-10-17： 细节向公众公开
简要描述：
中午的时候，有一朋友发消息过来，说是在朋友圈点击我名字，会跳出一个名为“诺基亚生活”的奇怪网页，而点击其他人正常，只有我这样……
本人表示相当郁闷，于是使用两部手机（不用微信号码）实机测试了一下，发现情况如下。
详细说明：
中午的时候，有一朋友发消息过来，说是在朋友圈点击我名字，会跳出一个名为“诺基亚生活”的奇怪网页，而点击其他人正常，只有我这样……
本人表示相当郁闷，于是使用两部手机（不用微信号码）实机测试了一下，发现情况如下。
当有用户（无论是本人还是别人）在朋友圈（如上图所示）分别点击本人名字的时候，会弹出以下页面（如下图所示）：
点“赞”后边的名字正常
点评论内容前边名字弹出网页
很明显，这个是微信自带的浏览器，提示找不到网页，而仔细看看网址后，一切都明白了。
图中的网址：http://Mr.***/，其实是我微信名字：Mr.***，而不知道为何，微信会把用户名字识别成 Url 打开，造成这个奇葩漏洞。
知道原理后，就简单多了，经过些许测试，发现只要构造以下格式的名字：
Mr.He
lcx.cc
www.lcx.cc
*.*
*.*.*
即可触发浏览器打开网页。
于是，本人构造了一个名字：lcx.cc，如下图所示。
然后进入朋友圈，点击自己评论前边的名字，果不其然：
目前尚不清楚该漏洞成因如何，当前的利用方式也仅仅是打开一个指定网站，并且网址有长度限制（微信名字16字节） 。
当然，如果你有腾讯网站 XSS 的话，可以试试 XSS 朋友圈所有人，拿到别人 Cookie （不知是否通用），哦呵呵呵呵~~~
当然，你还可以进行钓鱼，你懂的……
而上边说的，朋友打开的奇怪网页，也可以很简单的解释了，如果你手机的网络运营商存在DNS劫持的话，当你访问“http://Mr.***/”的时候（该域名不存在），会被“劫持”到网络运营商的广告页面（例如电信的114导航之类的），然后，然后就没有了……
漏洞证明：
修复方案：
企鹅自有妙计
版权声明：转载请注明来源 核攻击@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：7
确认时间：2013-07-19 17:26
厂商回复：
非常感谢您的报告。这个问题我们已经确认，正在与业务部门进行沟通制定解决方案。如有任何新的进展我们将会及时同步
最新状态：
暂无
漏洞评价：
评论
-
好牛逼的云fuzz.
( 普通白帽子 | Rank:411 漏洞数:40 )