微信0day漏洞？恶意代码成功执行！附恶意代码构造

欢迎各大公众号转发分享~

• 前言

• 事情经过

(r'<a href="/company/.*?">(.*?)</a>)')

(r'<a href=" ">(.*?)</a>)')

(r'(.*?))')

<a href="想隐藏的内容">1</a>

<a href=" ">1</a>

• 浅浅一谈

dy<a href="1">qq.com</a>

https://dywy.com/此处是随意命名/<a href="1">qq.com</a>/恶意网页UI.html

• 原理推断

这个利用过程分为三个阶段：

第一阶段：构造好恶意代码发送的时候在发送者视角是能看到完整内容的

第二阶段：在其他收信人视角下，href=" "里的内容全部清除了，变成一个空格

第三阶段：在电脑复制的时候，所有的标签代码及内容全部消失，前后文及标签夹着的内容会拼接在一起，形成完整的字符串

因此推断微信其实是做了两层渲染（仅指此处漏洞）的，第一层渲染掉了href中的内容（此处不知道为什么，怎么会把所有内容替换成空格），紧接着在复制的时候触发第二次渲染，将标签解析了从而导致前后拼接。那么此处就有可能进行操作，例如：钓鱼网站、XSS打cookie、甚至是用html的方式进行RCE（虽然极度困难，菜鸡的我做不到）。

• 碎碎念

原文始发于微信公众号（樱花庄的本间白猫）：微信0day漏洞？恶意代码成功执行！附恶意代码构造