当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0132372

漏洞标题:腾讯的APP“大闹三国.apk”的微信公众号账号信息泄露

相关厂商:腾讯

漏洞作者: 墨贝科技

提交时间:2015-08-07 17:41

修复时间:2015-11-08 10:14

公开时间:2015-11-08 10:14

漏洞类型:默认配置不当

危害等级:低

自评Rank:1

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-08-07: 细节已通知厂商并且等待厂商处理中
2015-08-10: 厂商已经确认,细节仅向厂商公开
2015-08-13: 细节向第三方安全合作伙伴开放
2015-10-04: 细节向核心白帽子及相关领域专家公开
2015-10-14: 细节向普通白帽子公开
2015-10-24: 细节向实习白帽子公开
2015-11-08: 细节向公众公开

简要描述:

腾讯的APP“大闹三国.apk”的 微信公众号账号信息泄露(AppID和AppSecret),可利用“微信公众平台接口调试工具”获取access_token,获取用户信息.

详细说明:

通过逆向分析得到“大闹三国”的 微信公众号账号AppID和AppSecret:

大闹三国.PNG


使用这对AppID和AppSecret,可以在“微信公众平台接口调试工具”上获取access_token,然后利用这个access_token,可以进一步获取用户信息、给用户发送各类信息等。

漏洞证明:

获取公众号access_token:

大闹三国-1.PNG


获取公众号粉丝的openid:

大闹三国-2.PNG


获取公众号粉丝的昵称、地区等其他信息:

大闹三国-3.PNG


测试方法同:
WooYun: K米网的APP“k米”的 微信公众号账号信息泄露

修复方案:

WooYun: 广东号码百事通"总机服务"微信公众号AppID和AppSecret泄露(可成功调用该帐号API操作)
给出的修复方案很隐晦。
这种漏洞禁用凭证和限制这个凭证的能力对业务造成影响,升级app又消耗资源。此类问题还有很多。需要好好权衡一下。

版权声明:转载请注明来源 墨贝科技@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:5

确认时间:2015-08-10 10:13

厂商回复:

非常感谢您的报告,问题已着手处理,感谢大家对腾讯业务安全的关注。如果您有任何疑问,欢迎反馈,我们会有专人跟进处理。

最新状态:

暂无