搜索

[15360] 2020-05-11_二维码劫持案例分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-05-11_二维码劫持案例分析 二 维 码 劫 持 案 例 分 析 x i a o p a n 2 3 3   F r e e B u f   2 0 2 0 - 0 5 - 1 1 引 言 引 言 微 信 扫 描 二 维 码 登 录 网 站 ， 相 信 很 多 网 站 登 录 中 都 有 这 个 功 能 。 但 是 这 个 功 能 使 用 不 当 ， 将 会 出 现 劫 持 漏 洞 。 话 不 多 说 ， 直 接 分 享 三 个 实 微 信 扫 描 二 维 码 登 录 网 站 ， 相 信 很 多 网 站 登 录 中 都 有 这 个 功 能 。 但 是 这 个 功 能 使 用 不 当 ， 将 会 出 现 劫 持 漏 洞 。 话 不 多 说 ， 直 接 分 享 三 个 实 战 挖 掘 的 案 例 ， 三 个 的 实 现 方 式 都 不 一 样 （ 已 脱 敏 ） 战 挖 掘 的 案 例 ， 三 个 的 实 现 方 式 都 不 一 样 （ 已 脱 敏 ） . A 网 站 登 录 处 存 在 二 维 码 劫 持 漏 洞 网 站 登 录 处 存 在 二 维 码 劫 持 漏 洞 正 常 走 其 流 程 ， 发 现 登 录 扫 一 个 二 维 码 即 可 ： 微 信 扫 描 后 发 现 ， 只 要 关 注 了   A 网 站   的 公 众 号 ， 无 需 点 击 确 认 ， 扫 描 后 即 可 登 录 ：
‘ 打 开 浏 览 器 f 1 2 ， 发 现 生 成 二 维 码 的 链 接 如 下 ： 但 是 直 接 访 问 ， 发 现 报 错 ： 估 计 是 判 断 了 R e f e r e 头 ， 我 们 用 p y t h o n   的 r e q u e s t s 去 请 求 试 试 ： 发 现 轮 询 判 断 二 维 码 是 否 扫 描 ， 是 否 登 录 的 接 口 如 下 ： 其 中 ：
未 登 录   c o d e 为   1 登 录   c o d e   为   0 二 维 码 过 期   c o d e   为   2 当 登 录 成 功 ， c o d e 返 回 0 ， 将 会 s e t - c o o k i e ， 返 回 一 个 绑 定 登 录 账 号 的 c o o k i e ： 可 成 功 获 取 到 m s g 。 制 定 攻 击 流 程 ： （ 1 ） 请 求 h t t p s : / / a . c o m / a c c o u n t / l o g i n _ w e i x i n . h t m l 获 取 到   m s g 参 数 （ 2 ） 轮 询 请 求   h t t p s : / / a . c o m / a c c o u n t / c h e c k L o g i n . h t m l ? 1 5 8 6 3 2 9 0 6 8 9 6 6 & t i c k e t = m s g 参 数 其 中   t i c k e t 参 数 为   第 一 步 获 取 到 的 m s g 参 数 （ 3 ） 将 二 维 码 投 放 出 去 ， 钓 鱼 等 待 受 害 者 扫 描 （ 4 ） 受 害 者 扫 描 二 维 码 ， 轮 询 返 回 登 录 成 功 （ 5 ） 获 取 此 时 的 c o o k i e 。 用 这 个 c o o k i e 去 登 录 受 害 者 账 号 E x p ： q r c o d e . p y 此 p y t h o n 文 件 用 来 获 取 二 维 码 以 及 轮 询
I n d e x . p h p ： 此 页 面 用 于 投 放 二 维 码 ， 供 受 害 者 扫 描 。 攻 击 流 程 ： （ 1 ） 开 启 q r c o d e . p y ： （ 2 ） 投 放 恶 意 页 面 ： （ 3 ） 受 害 者 扫 描 二 维 码 （ 4 ） 获 取 到 s e s s i o n ： （ 5 ） 登 录 受 害 者 账 号 ： 自 行 脑 补 下 登 录 成 功 的 样 子 吧 。 。 为 了 脱 敏 。 。 。 这 篇 文 章 仅 仅 讨 论 技 术 。
B 网 站 登 录 处 存 在 二 维 码 劫 持 漏 洞 网 站 登 录 处 存 在 二 维 码 劫 持 漏 洞 登 录 处 ： 二 维 码 登 录 流 程 ： （ 1 ） 获 取 二 维 码 和   k e y （ 2 ） 轮 询 （ 很 长 一 段 时 间 不 会 过 期 ） （ 3 ） 用 户 扫 描 二 维 码 或 点 击 登 陆 链 接 确 认 登 录 ， 轮 询 将 返 回 o p e n i d （ 4 ） 登 录 其 中 ， 获 取 链 接 和 k e y 的 阶 段 。 是 没 有 做 请 求 来 源 校 验 和 c s r f   t o k e n 的 。 意 味 着 任 何 人 任 何 地 点 都 可 以 请 求 获 取 二 维 码 和 k e y ： 请 求 链 接 ： h t t p : / / b . c o m / x x x x / g e t W x Q r c o d e ? x x x = x x x x （ G E T 参 数 不 重 要 ） 接 着 轮 询 ： 请 求 链 接 ： h t t p s : / / b . c o m / x x x x / c h e c k W x Q R S t a t e ? Q R k e y = Q R k e y 这 里 的 请 求 参 数 中 的 Q R k e y 就 是 在 上 一 步 获 取 二 维 码 和 k e y 时 ， 获 取 的 响 应 参 数   Q R k e y 。 此 时 需 要 用 微 信 扫 描 二 维 码 。 本 人 分 析 了 一 下 ， 发 现 二 维 码 链 接 如 下 ：
h t t p : / / b . c o m / l o g i n / s c a n / g Q H 1 8 D w A A A A A A A A A A S 5 o d H R w O i 8 v d 2 V p e x x x x x x x x x x x x F N T F 1 M U E A A g T Y 5 Y V e A w R Y A g A A 其 中   / s c a n / 后 的 字 符 串 就 是 我 们 的 Q R k e y 。 只 不 过 这 个 链 接 必 须 在 微 信 中 打 开 。 微 信 打 开 后 ， 轮 询 返 回 了 一 个 o p e n i d ， 这 个 o p e n i d 应 该 是 绑 定 这 微 信 的 ， 同 一 个 微 信 号 返 回 的 o p e n i d 都 是 一 样 的 : （ 偶 然 发 现 ， 如 果 微 信 没 有 自 己 去 改 微 信 号 ， 就 是 o p e n i d 的 值 哦 ） 获 取 到 o p e n i d 后 ， o p e n i d 和 Q R k e y 构 造 一 下 链 接 。 如 果 微 信 绑 定 了 账 号 的 ， 即 可 登 录 。 登 录 链 接 ： h t t p s : / / b . c o m / x x x x / q r W x L o g i n ? o p e n i d = o o 6 - I u O h w x x x x x x x x _ h O I & Q R k e y = g Q H 1 8 D w A A A A A A A A A A S 5 o d H R w O i 8 v d 2 V p x x x x x x x x x x x x x x x x x 4 S U 1 x x x x x x x S U 1 E A A g T Y 5 Y V e A w R Y A g A A 根 据 此 流 程 ， 可 构 造 钓 鱼 页 面 。 攻 击 流 程 ： （ 1 ） 开 启 p h p 相 关 环 境 ， 使 受 害 者 能 够 访 问 t e s t . p h p ； 运 行 p y t h o n 脚 本 （ a t t a c k . p y ） ， 开 始 轮 询 。 （ 2 ） 受 害 者 访 问 恶 意 页 面 （ t e s t . p h p ） ， 用 微 信 扫 描 二 维 码 ， 然 后 点 击 b 网 站 那 里 的 登 录 确 认   或 者 将 链 接 直 接 微 信 发 给 受 害 者 ， 受 害 者 微 信 处 点 开 （ 3 ） 此 时 a t t a c k . p y 中 获 取 到 o p e n i d ， 组 合 成 登 录 链 接 。 攻 击 者 可 使 用 登 录 链 接 登 录 受 害 者 账 号 使 用 p h p 和 p y t h o n 来 写 ： 钓 鱼 页 面 ：
p y t h o n 轮 询 ： 当 有 用 户 扫 描 二 维 码 或 点 击 链 接 。 点 击 确 认 后 ， 获 得 o p e n i d ， 组 成 登 录 链 接 ： 我 们 直 接 访 问 这 个 链 接 ， 即 可 成 功 登 录 。 C 网 站 登 录 处 存 在 二 维 码 劫 持 漏 洞 网 站 登 录 处 存 在 二 维 码 劫 持 漏 洞 正 常 请 求 ： （ 前 提 ： 微 信 绑 定 了 C 网 站 账 号 ， 且 在 微 信 处 登 录 了 C 网 站 账 号 ） 1 、 网 页 端 访 问 登 录 页 面 ：
2 、 网 页 端 持 续 轮 询 ， 检 查 二 维 码 状 态 。 这 里 返 回 1 ， 表 示 二 维 码 还 没 有 被 扫 描 3 、 手 机 微 信 端 扫 描 二 维 码 ， 发 送 了 一 个 请 求 ：
响 应 ： 4 、 网 页 端 轮 询 ， 返 回 值   2 ， 表 示 二 维 码 已 被 客 户 端 扫 描 ， 但 未 确 认 ：
网 页 端 显 示 ： 5 、 手 机 微 信 端 点 击   “ 确 认 登 录 电 脑 端 ” 6 、 轮 询 接 口 ， 返 回 了 登 录 成 功 的 c o o k i e 值 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理