漏洞概要 关注数(27) 关注此漏洞
缺陷编号： WooYun-2016-184202
漏洞标题： 微擎最新版可越权操作别人公众号
相关厂商： we7.cc
漏洞作者： 路人甲
提交时间： 2016-03-14 13:54
公开时间： 2015-12-26 16:56
漏洞类型： 非授权访问/认证绕过
危害等级： 高
自评Rank： 20
漏洞状态： 漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系
Tags标签： 无
漏洞详情
披露状态：
2016-03-14： 细节已通知厂商并且等待厂商处理中
2016-03-19： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2016-05-13： 细节向核心白帽子及相关领域专家公开
2016-05-23： 细节向普通白帽子公开
2016-06-02： 细节向实习白帽子公开
2015-12-26： 细节向公众公开
简要描述：
越权有很多种，有的越权只是能看到别人的信息，有的越权却可以控制别人的信息，甚至影响到数以万计人，那就严重的，20rank 值不？
详细说明：
微信接入最重要的就是AppId和AppSecret了，如果这两个东西泄露了，即可操作该公众号很多功能，比如给粉丝推送消息，甚至一些非法的消息
以微擎官方demo为例说明问题（最新v0.7版）
http://**.**.**.**
注册一个账号,然后随便添加一个公众号
点击编辑：
系统访问如下url:
http://**.**.**.**/web/index.php?c=account&a=post&uniacid=3682
研究之前版本的微擎，类似的url上面还有一个参数acid
于是添加acid参数，并改成其他公众号的id，如下：
http://**.**.**.**/web/index.php?c=account&a=post&acid=3680&uniacid=3682
即可拿到id为3680的appid和sec
遍历acid即可拿到所有appid和sec
百度搜索使用微擎的公司，随便找一家：
访问同样的URL：
获取用户列表：
。。。。。。
微擎平台用户很多，不一一举例了
漏洞证明：
修复方案：
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-12-26 16:56
厂商回复：
漏洞Rank：15 (WooYun评价)
最新状态：
暂无
漏洞评价：
对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值
评价
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论