微信设计缺陷可绕过恶意网址检测机制

admin 2017年4月16日06:10:32评论371 views字数 202阅读0分40秒阅读模式
摘要

2016-02-26: 细节已通知厂商并且等待厂商处理中
2016-03-01: 厂商已经确认,细节仅向厂商公开
2016-03-11: 细节向核心白帽子及相关领域专家公开
2016-03-21: 细节向普通白帽子公开
2016-03-31: 细节向实习白帽子公开
2016-04-15: 细节向公众公开

漏洞概要 关注数(16) 关注此漏洞

缺陷编号: WooYun-2016-179005

漏洞标题: 微信设计缺陷可绕过恶意网址检测机制

相关厂商: 腾讯

漏洞作者: 落叶纷飞2

提交时间: 2016-02-26 23:24

公开时间: 2016-04-15 10:05

漏洞类型: 设计错误/逻辑缺陷

危害等级: 高

自评Rank: 10

漏洞状态: 厂商已经确认

漏洞来源:www.wooyun.org ,如有疑问或需要帮助请联系

Tags标签: 无

0人收藏


漏洞详情

披露状态:

2016-02-26: 细节已通知厂商并且等待厂商处理中
2016-03-01: 厂商已经确认,细节仅向厂商公开
2016-03-11: 细节向核心白帽子及相关领域专家公开
2016-03-21: 细节向普通白帽子公开
2016-03-31: 细节向实习白帽子公开
2016-04-15: 细节向公众公开

简要描述:

虽然只是个小问题,但我大哥是最叼的真黑客Mickey,谁都要跪。

详细说明:

首先看看直接访问恶意网址,微信会咋样

微信设计缺陷可绕过恶意网址检测机制

图中的www.se0****.com是一个带有不友好内容的网址,为了防止影响到小学生,这里就打码了

微信设计缺陷可绕过恶意网址检测机制

微信直接给我拦了

OK,再来看看微信另一个机制,访问我自己的vps,xxx.xxx.209.124,看看啥情况

微信设计缺陷可绕过恶意网址检测机制

访问后会有如下提示,并且尽管你点了继续访问,你在这个网页中做的每一步操作,微信都会重新给你这个提示

微信设计缺陷可绕过恶意网址检测机制

但是如果访问一下百度的ip,119.75.218.70,微信会直接通过,因为这个IP在微信白名单里

那么这里我们尝试下访问http:

微信设计缺陷可绕过恶意网址检测机制

发现微信没有做任何提示,直接就让我访问了我的VPS

微信设计缺陷可绕过恶意网址检测机制

那么我们来试一下访问http:****.com,访问后发现微信依然拦截,提示恶意网址

那么我在我的vps上挂一个1.php,内容就是iframe这个www.se0****.com,然后访问http:/1.php

OK,这就绕过了微信恶意网址限制了

微信设计缺陷可绕过恶意网址检测机制

但是这好像有点不完美,由于www.se0****.com这个网站直接访问IP也可以,所以ping了一下,发现其IP是xxx.246.94.xxx

那么我们直接访问http: ,看看结果

微信设计缺陷可绕过恶意网址检测机制

直接绕过了微信的恶意网址检测机制

微信设计缺陷可绕过恶意网址检测机制

漏洞证明:

和上面一样,BTW:恶意网址在测试代码中,大家可以带着批判的角度去看一下

修复方案:

他们会

版权声明:转载请注明来源 落叶纷飞2@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:2

确认时间:2016-03-01 10:05

厂商回复:

非常感谢您的报告,问题已着手处理,感谢大家对腾讯业务安全的关注。如果您有任何疑问,欢迎反馈,我们会有专人跟进处理。

最新状态:

暂无


漏洞评价:

对本漏洞信息进行评价,以更好的反馈信息的价值,包括信息客观性,内容是否完整以及是否具备学习价值

漏洞评价(少于3人评价):

登陆后才能进行评分

100%

0%

0%

0%

0%


评价

  1. 2016-02-26 23:48 | 落叶纷飞2 ( 路人 | Rank:2 漏洞数:1 | 2)

    1

    终于可以有自己的乌云号了

  2. 2016-02-26 23:54 | 随风的风 ( 普通白帽子 | Rank:259 漏洞数:96 | 微信公众号:233sec 不定期分享各种漏洞思...)

    1

    可以饶过 www.taobao.com 或者alipay.com不?

  3. 2016-03-01 19:09 | 存在敏感词 ( 实习白帽子 | Rank:66 漏洞数:9 | 我是大傻逼~)

    1

    82分

免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin