当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-037505

漏洞标题：微信一定条件会泄露密码信息（国外已经披露）

相关厂商：腾讯

漏洞作者： riskuusk

提交时间：2013-09-18 21:03

修复时间：2013-12-17 21:04

公开时间：2013-12-17 21:04

漏洞类型：重要资料/文档外泄

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-09-18： 细节已通知厂商并且等待厂商处理中
2013-09-22： 厂商已经确认，细节仅向厂商公开
2013-09-25： 细节向第三方安全合作伙伴开放
2013-11-16： 细节向核心白帽子及相关领域专家公开
2013-11-26： 细节向普通白帽子公开
2013-12-06： 细节向实习白帽子公开
2013-12-17： 细节向公众公开

简要描述：

任意第三方恶意程序，可以通过利用微信的调试模块，将微信密码的MD5值发送到自己的服务器，而一些短密码的MD5值又能够破解

详细说明：

09-09 14:32:51 594 V/MicroMsg.MMBuiltInIP <-- data-blogger-escaped-br="" data-blogger-escaped-dump="" data-blogger-escaped-end="" data-blogger-escaped-mmbuiltinip=""> 09-09 14:32:51 626 D/MicroMsg.AccInfo update session info: session=, uin=-1893467821
09-09 14:32:51 635 I/MicroMsg.AutoAuth sending remote request, network.active=false
09-09 14:32:51 666 I/MicroMsg.AutoAuth.SceneInfoQueue inQueue: netid=0
09-09 14:32:51 691 V/MicroMsg.SDK.SyncTask sync task done, return=0, cost=56(wait=0, run=56)
09-09 14:32:51 783 V/MicroMsg.NetStatWatchDog dkreport status:9999002 nowCount:1 ret:1
09-09 14:32:51 810 D/MicroMsg.AutoAuth account info updated:AccInfo:
|-uin =-1893467821
|-user =ukcd_ao03gex3y2731v
|-session =
|-pass =5f4dcc3b5aa765d61d8327deb882cf99
|-pass2 =5f4dcc3b5aa765d61d8327deb882cf99
`-cookie =(null)
09-09 14:32:51 885 D/MicroMsg.NetStatWatchDog item.toByteArray() :433
09-09 14:32:52 101 D/MicroMsg.GYNet encoding, type=380, key=, time=284
09-09 14:32:52 108 I/MicroMsg.GYNet sendImp reqData.len:866
09-09 14:32:52 114 D/MicroMsg.NetStatusUtil activeNetInfo extra=internet, type=0

漏洞证明：

国外已经证明了
http://blog.emaze.net/2013/09/a-look-at-wechat-security.html

修复方案：

赶紧把调试模块该改得改

版权声明：转载请注明来源 riskuusk@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：1

确认时间：2013-09-22 10:35

厂商回复：

感谢反馈，我们正在跟进处理中

最新状态：

暂无

漏洞评价：

评论

  1. 2013-09-18 21:09 | 学习乌云 ( 实习白帽子 | Rank:95 漏洞数:14 | 学习ing...)

    这个是不对的。微信的调试模块默认是没有在release版本里的，所以没法攻击。只有被重打包的微信才可能出现你说的这个情况。我已经提交了一个详尽的分析到wooyun，是对老外的那个补充。

  2. 2013-09-18 21:12 | 学习乌云 ( 实习白帽子 | Rank:95 漏洞数:14 | 学习ing...)

    wooyun应该对这种没有自己验证的帖子，进行严格控制啊！（安全不应该变成不负责任的披露）老外说的也不是完全对的。

  3. 2013-09-18 21:14 | 淡漠天空 认证白帽子 ( 实习白帽子 | Rank:1113 漏洞数:142 | M:出售GOV STATE NSA CIA NASA DHS Symant...)

    国内不都是照抄国外么 有什么奇怪？ 见怪不怪

  4. 2013-09-18 21:16 | 学习乌云 ( 实习白帽子 | Rank:95 漏洞数:14 | 学习ing...)

    @淡漠天空 那wooyun在这种不负责任的披露过程中，应该严格控制吧！

  5. 2013-09-18 21:19 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @学习乌云 抱歉，有的漏洞会作为安全事件进行报告.....我更正下，非常感谢！

  6. 2013-09-18 21:25 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @学习乌云 顶你这句老外说的不一定对的

  7. 2013-09-18 21:26 | 学习乌云 ( 实习白帽子 | Rank:95 漏洞数:14 | 学习ing...)

    @xsser thanks~

  8. 2013-09-18 21:27 | 学习乌云 ( 实习白帽子 | Rank:95 漏洞数:14 | 学习ing...)

    转一个我自己的补充分析： WooYun: 对微信Android版的交互协议和加密模式的进一步分析 希望真正了解每个攻击背后的原因、危害，是否真实存在。而不是别人说什么，自己就信什么。

  9. 2013-09-27 16:32 | 学习乌云 ( 实习白帽子 | Rank:95 漏洞数:14 | 学习ing...)

    有新的update！此攻击在高版本android上是有效的（当第三方app可以读取log日志时）

  10. 2013-12-17 22:19 | 炯炯虾 ( 路人 | Rank:2 漏洞数:1 | 我来自地球)

    泉哥自己提交自己公司的漏洞？

  11. 2013-12-18 09:20 | 乐乐、 ( 普通白帽子 | Rank:853 漏洞数:189 )

    外国佬也玩微信？摇微信？？？

  12. 2013-12-18 09:33 | woody ( 路人 | Rank:8 漏洞数:1 | 菜鸟一枚)

    @乐乐、 挺多