从发现微信官方高危漏洞说起

[maxsec]

在之前做微信公共账号的开发时，关于二维码的接口，需要开发者授权获得access_token然后才能请求参数生成二维码；

而微信电脑上阅读文章右侧的二维码，URL中的参数就是上述参数，而且会请求到开发者服务器，然后没有任何验证（现在已修复）。


再来说说遇到的奇葩的事情：

1. 在我提交漏洞到TSRC后，他们在30分钟内就把漏洞修复了，然后确认漏洞足足花了24小时；
2. 今天上午，一个叫rices@tsrc的人联系到我QQ，说让我谈谈对这个漏洞的理解，然后我提出打电话我给他解释，然后他拒绝了我的电话谈的请求说那个二维码只是一个名片吧？我回复：“你们昨天连夜修复了所以就别装不懂了”
3. 这个漏洞居然评级仅仅是中；

我来给大家解释下这个漏洞的危害性：
比如一家金融平台，有绑定微信的功能，那么一定是通过生成带参数二维码来绑定，只要知道用户UID就可以攻击到这个用户，针对微信公共号开发的功能（假如有消费／提现。。。后果很严重）全部操作都能访问到！
再如果是一家银行。。。。后果不敢想象

所以，这个肯定是高危漏洞！

大家以后有腾讯公司的任何漏洞，要么发乌云，要么发微博直接公开吧！千万别提交到TSRC，这帮人全是逗B。

[pimin]

感觉偶然所得漏洞，如使用软件时刚好遇到崩溃，点了调试找到原理，提交给厂商本身并无它求，修复了即可。
至于追求认同之类，利用它造成破坏来得更直白一些。
沟通方面，工作习惯问题吧，qq、邮件之类，双方有思考余地，并且可以保存记录，电话感觉并不适合技术交流。

[maxsec]

主题已更新。

[sobigfish]

貌似dnspod那边也有漏洞，把scene的权限扩大了。

[maxsec]

@sobigfish 漏洞就是出在微信这边，DNSPod没做错任何事情。

原因：
本次攻击关键的因素就在于绕过了access_token验证这一步,

微信公共平台已定义, access_token用于鉴别请求身份, 除腾讯以外其它公司无法攻击这个环节,
而微信那张神奇二维码打了自己的脸, 不遵守自己的约定, 以企业用户名义生成二维码,
也只有腾讯这家SB公司才能如此下做了.

[hackwjfz]

对微信这边开发比较了解，按道理这里只是一个scene id，这个id在微信中的目的是用来做来源识别，用户扫描不同的二维码就可以区分不同的来路。

您补充的那张图中出现的域名如果是不是楼主的，那只能说明问题应该是在DNSPod，他们草率的将场景id直接用来做用户识别了。

个人感觉这个问题不太应该是微信的问题，微信只是“替你生成了一张带场景id的二维码”而已。

当然也可能没能理解清楚LZ的意思。请指教。

[maxsec]

@hackwjfz 微信的来源接口设计上本来是安全的，如果wechat官方遵守自己的约定的话；
可是wechat自己没遵守了自己关于“access_token first”的约定，导致了接口的不安全。

[ncmonster]

##这个漏洞居然评级仅仅是中；
TSRC对漏洞的定级有：低危、中危、高危和严重，简单举几个比较明显的例子：
可以直接获取到服务端系统权限的漏洞算严重；
可以直接获取用户权限的的漏洞算高危；
需要交互才能获取到用户权限的漏洞算中危。
如果楼主觉得你提交的这个漏洞算严重。那你说说什么样的漏洞算高危，中危，低危呢

[maxsec]

@ncmonster 首先这个漏洞爆了微信的菊花，调用微信API的有各家银行金融机构，这些用户的价值等同于微信自己的用户？SB

[maxsec]

@ncmonster AND by the way, 如果这个漏洞仅仅是中，微信会那么快修复了才来response么？再送你一个SB称号