当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-037505

漏洞标题：微信一定条件会泄露密码信息（国外已经披露）

相关厂商：腾讯

漏洞作者： riskuusk

提交时间：2013-09-18 21:03

修复时间：2013-12-17 21:04

公开时间：2013-12-17 21:04

漏洞类型：重要资料/文档外泄

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-09-18： 细节已通知厂商并且等待厂商处理中
2013-09-22： 厂商已经确认，细节仅向厂商公开
2013-09-25： 细节向第三方安全合作伙伴开放
2013-11-16： 细节向核心白帽子及相关领域专家公开
2013-11-26： 细节向普通白帽子公开
2013-12-06： 细节向实习白帽子公开
2013-12-17： 细节向公众公开

简要描述：

任意第三方恶意程序，可以通过利用微信的调试模块，将微信密码的MD5值发送到自己的服务器，而一些短密码的MD5值又能够破解

详细说明：

09-09 14:32:51 594 V/MicroMsg.MMBuiltInIP <-- data-blogger-escaped-br="" data-blogger-escaped-dump="" data-blogger-escaped-end="" data-blogger-escaped-mmbuiltinip=""> 09-09 14:32:51 626 D/MicroMsg.AccInfo update session info: session=, uin=-1893467821
09-09 14:32:51 635 I/MicroMsg.AutoAuth sending remote request, network.active=false
09-09 14:32:51 666 I/MicroMsg.AutoAuth.SceneInfoQueue inQueue: netid=0
09-09 14:32:51 691 V/MicroMsg.SDK.SyncTask sync task done, return=0, cost=56(wait=0, run=56)
09-09 14:32:51 783 V/MicroMsg.NetStatWatchDog dkreport status:9999002 nowCount:1 ret:1
09-09 14:32:51 810 D/MicroMsg.AutoAuth account info updated:AccInfo:
|-uin =-1893467821
|-user =ukcd_ao03gex3y2731v
|-session =
|-pass =5f4dcc3b5aa765d61d8327deb882cf99
|-pass2 =5f4dcc3b5aa765d61d8327deb882cf99
`-cookie =(null)
09-09 14:32:51 885 D/MicroMsg.NetStatWatchDog item.toByteArray() :433
09-09 14:32:52 101 D/MicroMsg.GYNet encoding, type=380, key=, time=284
09-09 14:32:52 108 I/MicroMsg.GYNet sendImp reqData.len:866
09-09 14:32:52 114 D/MicroMsg.NetStatusUtil activeNetInfo extra=internet, type=0

漏洞证明：

国外已经证明了
http://blog.emaze.net/2013/09/a-look-at-wechat-security.html

修复方案：

赶紧把调试模块该改得改

版权声明：转载请注明来源 riskuusk@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：1

确认时间：2013-09-22 10:35

厂商回复：

感谢反馈，我们正在跟进处理中

最新状态：

暂无