搜索

[19429] 2018-12-11_与你有关丨微信可能隐藏着这样的安全隐患

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2018-12-11_与你有关丨微信可能隐藏着这样的安全隐患 与 你 有 关 丨 微 信 可 能 隐 藏 着 这 样 的 安 全 隐 患 i 春 秋   2 0 1 8 - 1 2 - 1 1 我 们 基 本 上 每 天 都 会 使 用 微 信 ， 与 家 人 朋 友 视 频 聊 天 ， 与 同 事 讨 论 工 作 ， 付 款 也 会 使 用 微 信 支 付 ， 微 信 已 成 为 生 活 中 的 一 部 分 ， 甚 至 已 经 离 不 开 它 ， 但 是 你 知 道 这 款 应 用 里 面 也 存 在 漏 洞 吗 ， 这 些 漏 洞 会 引 起 哪 些 安 全 隐 患 问 题 呢 ？ 说 起 漏 洞 大 家 或 许 比 较 陌 生 ， 但 类 似 下 面 这 张 图 的 提 示 大 部 分 人 应 该 都 经 常 看 见 ： 你 知 道 点 开 “ 打 开 打 开 ” 意 味 着 什 么 吗 ？ 是 不 是 从 来 没 有 想 过 这 个 问 题 ， 那 么 今 天 我 们 就 从 网 络 安 全 技 术 角 度 去 探 究 ， 更 深 层 次 的 学 习 ： 了 解 了 解 i O S   U R L   S c h e m e s 、 如 何 发 现 、 如 何 发 现 i O S   U R L   S c h e m e s 、 、 i O S   U R L   S c h e m e s 结 合 漏 洞 案 例 。 结 合 漏 洞 案 例 。 i O S   U R L   S c h e m e s 基 本 概 念 基 本 概 念 抛 开 i O S 从 U R L   S c h e m e s 的 字 面 意 思 理 解 ， 就 是 地 址 协 议 ( S c h e m e 一 般 用 来 表 示 协 议 ， 比 如 一 般 用 来 表 示 协 议 ， 比 如   h t t p 、 、 h t t p s 、 、 f t p   等 等 ) ， 我 们 所 熟 知 的 H T T P 协 议 的 U R L 格 式 就 是 ： h t t p ( s ) : / / u s e r : p a s s @ h o s t : p o r t / p a t h ? q u e r y 举 个 例 子 ： h t t p : / / g h 0 s t . c n / ， 在 浏 览 器 输 入 这 个 地 址 ， 浏 览 器 是 使 用 H T T P 协 议 向   g h 0 s t . c n   请 求 ， 请 求 的 资 源 就 是 /   。 再 来 看 一 下 i O S   U R L   S c h e m e s 的 一 个 例 子 ： w e i x i n : / / ， 你 在 S a f a r i 浏 览 器 ( M o b i l e ) 输 入 这 个 网 址 就 会 提 示 你 在 " 微 信 " 中 打 开 链 接 吗 ? ， 然 后 由 你 选 择 " 取 消 " 或 " 打 开 " ; 和 H T T P 协 议 格 式 的 协 议 格 式 的 U R L 访 问 流 程 进 行 对 比 ， 访 问 流 程 进 行 对 比 ， i O S   U R L   S c h e m e s   实 际 上 就 是 启 动 一 个 实 际 上 就 是 启 动 一 个 应 用 的 应 用 的   U R L ， ， 其 访 问 流 程 是 这 样 的 ：
浏 览 器 输 入 " w e i x i n : / / "   - >   i O S 识 别 U R L   S c h e m e s   - > 询 问 是 否 跳 转 到 微 信   - >   确 认 跳 转   - >   从 浏 览 器 跳 转 到 微 信 端 那 么 问 题 就 来 了 ， 以 上 所 述 流 程 中 的 " i O S 识 别 识 别 U R L   S c h e m e s " ， i O S 如 何 识 别 这 段 U R L   S c h e m e s ? i O S 官 方 要 求 的 是 官 方 要 求 的 是 A P P 开 发 开 发 者 需 要 自 己 定 义 自 己 者 需 要 自 己 定 义 自 己 A P P 的 的 " U R L   S c h e m e s " ， 只 有 ， 只 有 A P P 本 身 定 义 本 身 定 义 ( 支 持 支 持 ) 了 了 U R L   S c h e m e s ， ， i O S 才 会 去 识 别 然 后 跳 转 。 才 会 去 识 别 然 后 跳 转 。 定 义 定 义 一 个 完 整 的   U R L   S c h e m e s   应 该 分 为   S c h e m e 、 A c t i o n 、 P a r a m e t e r 、 V a l u e   这 4 个 部 分 ， 中 间 用 冒 号   : 、 斜 线   / 、 问 号   ? 、 等 号   =   相 连 接 。 举 个 例 子 ： m s t : / / j u m p ? u r l = h t t p s : / / g h 0 s t . c n / & t i t l e = t e s t ， 它 对 应 的 4 部 分 就 是 如 下 所 示 ： S c h e m e ( 头 ) :   m s t 、 A c t i o n ( 动 作 ) :   j u m p 、 P a r a m e t e r ( 参 数 ) :   u r l 、 t i t l e 、 V a l u e ( 值 ) : h t t p s : / / g h 0 s t . c n 、 t e s t 不 同 的 部 分 之 间 有 符 号 相 连 ， 它 们 也 有 一 定 的 规 则 ( 和 U R L 部 分 规 则 是 一 样 的 ) ： 冒 号 : ： 在 链 接 头 链 接 头 和 命 令 命 令 之 间 ； 双 斜 杠   / / ： 在 链 接 头 链 接 头 和 命 令 命 令 之 间 ， 有 时 会 是 三 斜 杠   / / / ； 问 号   ? ： 在 命 令 命 令 和 参 数 参 数 之 间 ； 等 号   = ： 在 参 数 参 数 和 值 值 之 间 ； 和 符 号   & ： 在 一 组 参 数 参 数 和 另 一 组 参 数 参 数 之 间 。 理 解 理 解 上 述 所 举 的 例 子 ： m s t : / / j u m p ? u r l = h t t p s : / / g h 0 s t . c n / & t i t l e = t e s t ， 来 简 单 的 说 明 下 这 段 U R L   S c h e m e 所 产 生 的 效 果 ： 1 、 跳 转 到 " m s t " 所 对 应 的 A P P 2 、 在 A P P 中 执 行 j u m p 动 作 ( 跳 转 网 站 ) 3 、 告 诉 A P P j u m p 动 作 所 需 的 u r l 和 t i t l e 参 数 ， 对 应 的 值 分 别 为 h t t p s : / / g h 0 s t . c n / 和 t e s t 可 以 理 解 为 在 可 以 理 解 为 在 A P P 应 用 中 访 问 应 用 中 访 问 h t t p s : / / g h 0 s t . c n / ， 网 页 标 题 为 ， 网 页 标 题 为 t e s t 。 。 寻 找 寻 找 i O S   A P P 的 的 U R L   S c h e m e s 当 你 学 会 了 如 何 寻 找 A P P 的 U R L   S c h e m e s ， 你 就 算 发 现 了 半 个 漏 洞 。 获 取 获 取 I P A 包 包 基 本 的 U R L   S c h e m e s 可 以 在 i O S   A P P 中 的 I n f o . p l i s t 文 件 中 寻 找 到 ， 而 一 般 你 是 无 法 获 取 到 A P P 的 i p a 包 的 ， 所 以 需 要 借 助 软 件 获 取 到 这 个 包 。 前 提 是 你 需 要 这 两 台 设 备 ： M a c B o o k 、 i P h o n e ， 如 果 你 只 拥 有 一 台 i P h o n e 的 话 也 有 办 法 去 获 取 ( 需 要 T h o r   A P P ， 具 体 方 法 自 行 寻 找 ) 。
M a c 上 先 安 装 A p p l e   C o n f i g u r a t o r   2 ， 然 后 你 需 要 在 该 软 件 中 登 录 你 的 A p p l e 账 户 ： 使 用 i P h o n e 充 电 线 将 手 机 连 接 M a c ， 这 时 候 软 件 中 就 会 显 示 已 经 连 接 M a c 的 设 备 ： 假 设 你 需 要 获 取 微 信 的 U R L   S c h e m e s ， 那 么 你 的 手 机 已 经 安 装 过 了 微 信 ， 然 后 使 用 该 软 件 进 行 添 加 ， 选 中 设 备 点 击 添 加 按 钮 ， 选 择 应 用 ： 搜 索 微 信 ， 选 中 添 加 ：
当 你 下 载 完 成 看 见 如 下 提 示 的 时 候 ， 在 F i n d e r 中 按 快 捷 键 C o m m a n d + S h i f t + G ， 输 入 ~ / 资 源 库 / G r o u p C o n t a i n e r s / K 3 6 B K F 7 T 3 D . g r o u p . c o m . a p p l e . c o n f i g u r a t o r / L i b r a r y / C a c h e s / A s s e t s / T e m p o r a r y I t e m s / M o b i l e A p p s / 软 件 下 载 的 微 信 i p a 文 件 就 存 在 该 文 件 夹 中 ：
进 入 文 件 夹 将 i p a 文 件 复 制 到 其 他 地 方 ： 然 后 回 到 A p p l e   C o n f i g u r a t o r   2 的 提 示 ， 点 击 停 止 即 可 。 获 取 基 本 获 取 基 本 U R L   S c h e m e s 将 I P A 包 后 缀 名 修 改 为 Z I P ， 然 后 解 压 ， 进 入 P a y l o a d 目 录 会 看 见 一 个 . A P P 后 缀 名 文 件 ， 选 中 文 件 右 击 显 示 包 内 容 ：
找 到 I n f o . p l i s t 文 件 并 打 开 ， 搜 索 关 键 词 U R L S c h e m e s ： 被 S t r i n g 标 签 所 包 含 的 就 是 微 信 的 U R L   S c h e m e s ：
寻 找 完 整 寻 找 完 整 U R L   S c h e m e s 如 上 已 经 了 解 了 如 何 获 取 最 基 本 的 U R L   S c h e m e s ， 但 是 这 远 远 不 够 ， 因 为 完 整 的 U R L   S c h e m e s 有 4 部 分 ， 而 目 前 只 找 到 了 第 一 部 分 ， 仅 仅 能 做 到 的 功 能 就 是 启 动 ， 而 想 找 到 更 多 的 非 基 本 U R L   S c h e m e s 需 要 其 他 的 方 法 。 有 很 多 方 法 在 这 里 不 一 一 例 举 了 ， 只 列 几 个 常 见 的 思 路 供 你 参 考 。 从 手 机 站 点 页 面 获 取 从 手 机 站 点 页 面 获 取 一 般 网 站 都 会 有 这 些 子 域 名 ： m h 5 m o b i l e . . . 打 开 这 些 子 域 名 ， 利 用 C h r o m e 的 开 发 者 工 具 ( F 1 2 ) 切 换 为 手 机 模 式 视 图 ， 这 样 就 能 模 拟 手 机 去 访 问 了 ： 那 在 这 里 可 以 在 该 页 面 的 H T M L 代 码 中 寻 找 U R L   S c h e m e s ( 前 提 是 你 已 经 知 道 了 基 本 的 U R L   S c h e m e s ) 在 这 里 我 从 页 面 的 J a v a S c r i p t 代 码 中 发 现 了 很 多 U R L   S c h e m e s ：
有 些 还 有 参 数 ， 可 以 根 据 命 名 来 猜 这 些 U R L   S c h e m e s 的 含 义 ， 例 如 p a t h :   " m s t : / / j u m p / c o r e / w e b / j u m p " ， 就 可 以 知 道 这 个 是 做 W e b 跳 转 的 ， 那 跳 转 到 哪 个 地 址 是 什 么 参 数 控 制 呢 ? 下 面 也 有 对 应 的 告 诉 我 们 是 u r l 参 数 去 控 制 ， 也 就 组 成 了 这 样 一 个 U R L S c h e m e :   m s t : / / j u m p / c o r e / w e b / j u m p ? u r l = h t t p s : / / g h 0 s t . c n 逆 向 逆 向 A P P 不 仅 是 i O S ， 安 卓 也 支 持 U R L   S c h e m e s ， 而 一 般 的 定 义 是 一 样 的 ， 所 以 你 可 以 基 于 获 取 基 本 U R L   S c h e m e s 这 个 步 骤 将 . A P P 文 件 的 后 缀 去 掉 ， 这 时 候 这 个 文 件 就 变 成 了 一 个 文 件 夹 拖 到 S u b l i m e 里 面 全 局 搜 索 " w e i x i n : / / " 即 可 。
至 于 安 卓 的 A P K 的 逆 向 可 以 参 考 i 春 秋 社 区 中 的 <   打 造 M a c 下 A P K 逆 向 环 境 到 实 战 接 口 X S S 挖 掘   > ， 可 以 在 源 代 码 中 、 所 有 文 件 内 容 中 搜 索 U R L   S c h e m e s 。 漏 洞 案 例 漏 洞 案 例 A P P 内 内 U R L 跳 转 问 题 跳 转 问 题 其 实 严 格 来 讲 这 不 算 是 漏 洞 ， 毕 竟 利 用 有 限 ， 但 又 和 一 切 能 产 生 危 害 的 问 题 都 算 漏 洞 一 切 能 产 生 危 害 的 问 题 都 算 漏 洞 这 句 话 所 冲 突 ， 所 以 在 这 还 是 选 择 列 了 出 来 ， 至 于 厂 商 觉 不 觉 得 是 个 安 全 性 问 题 ， 还 要 看 他 们 对 “ 安 全 风 险 “ 的 定 义 。 如 何 发 现 这 类 问 题 ? 在 上 文 中 我 提 到 了 如 何 发 现 U R L   S c h e m e s ， 只 要 你 发 现 了 这 种 类 型 的 U R L   S c h e m e s 就 可 以 尝 试 替 换 地 址 为 你 的 地 址 然 后 使 用 浏 览 器 打 开 查 看 是 否 能 在 A P P 内 跳 转 到 你 的 地 址 ， 当 然 利 用 方 式 也 很 简 单 ， 构 建 一 个 H T M L 页 面 即 可 ， 然 后 将 网 址 发 送 给 “ 受 害 者 受 害 者 ” 即 可 ： 凭 证 窃 取 凭 证 窃 取 ( 设 计 不 当 设 计 不 当 ) 在 做 一 次 漏 洞 挖 掘 的 时 候 也 碰 见 了 很 多 次 这 种 问 题 ， 大 概 的 描 述 下 就 是 我 找 到 了 能 在 A P P 中 打 开 网 页 的 入 口 方 式 ( 例 如 ： 二 维 码 扫 描 、 U R L   S c h e m e s 动 作 ) ， 让 A P P 访 问 到 我 的 地 址 ， 这 样 我 就 可 以 直 接 获 取 到 A P P 中 登 录 后 的 凭 证 信 息 。
利 用 方 式 和 U R L 跳 转 的 方 式 是 一 样 的 ； 关 于 这 方 面 漏 洞 产 生 原 理 得 出 一 个 可 能 “ 不 太 严 谨 的 结 论 不 太 严 谨 的 结 论 ” ： A P P 在 做 在 做 H T T P 请 求 的 请 求 的 时 候 默 认 所 有 访 问 的 都 是 信 任 域 ， 所 以 带 上 了 本 身 已 经 登 录 的 凭 证 去 请 求 了 。 时 候 默 认 所 有 访 问 的 都 是 信 任 域 ， 所 以 带 上 了 本 身 已 经 登 录 的 凭 证 去 请 求 了 。 结 合 漏 洞 扩 大 攻 击 面 结 合 漏 洞 扩 大 攻 击 面 在 一 次 A P P 的 漏 洞 挖 掘 中 发 现 了 一 个 J S O N P 劫 持 的 问 题 ， 但 是 在 这 里 只 会 对 A P P 用 户 产 生 影 响 ， 在 没 有 二 维 码 扫 描 的 情 况 下 就 需 要 结 合 U R L   S c h e m e s 来 扩 大 这 个 漏 洞 的 影 响 面 ， 而 不 是 局 限 于 s e l f 。 利 用 流 程 ： 用 户 打 开 h t t p s : / / g h 0 s t . c n / t e s t . h t m l ， t e s t . h t m l 内 容 ： 用 户 点 开 之 后 启 动 m s t 应 用 执 行 j u m p 动 作 ， 跳 转 到 h t t p s : / / g h 0 s t . c n / j s o n p . h t m l ， j s o n p . h t m l 内 容 ： U R L   S c h e m e s 劫 持 劫 持 这 个 漏 洞 是 1 5 年 在 乌 云 爆 出 来 的 ， 漏 洞 编 号 为 ： w o o y u n - 2 0 1 5 - 0 1 0 3 2 3 3 ， 大 家 可 以 自 行 去 查 看 。 这 个 问 题 说 白 了 是 一 个 流 程 上 的 缺 陷 ， 苹 果 官 方 没 有 限 制 A P P 定 义 的 U R L   S c h e m e s 名 字 ， 导 致 其 他 A P P 也 可 以 定 义 “ 支 付 宝 ” 的 U R L   S c h e m s 名 字 ； 又 因 为 i O S 系 统 判 定 U R L   S c h e m e s 优 先 级 顺 序 与   B u n d l e   I D   有 关 ( 一 个   B u n d l e   I D   对 应 一 个 应 用 ) ， 如 果 有 人 精 心 伪 造   B u n d l e   I D ， i O S   就 会 调 用 恶 意   A p p   的   U R L   S c h e m e s   去 接 收 相 应 的   U R L   S c h e m e s   请 求 ， 这 就 导 致 了 可 以 被 劫 持 。 还 有 很 多 思 路 等 着 我 们 去 探 寻 ， 此 文 仅 做 思 路 启 发 。 来 源 ： 文 章 素 材 来 源 于 i 春 秋 社 区 再 次 感 谢 i 春 秋 社 区 的 k e y 老 师 给 出 的 上 述 见 解 ， 如 果 大 家 还 有 其 他 的 建 议 可 以 在 文 末 留 言 ， 或 者 加 入 技 术 交 流 群 技 术 交 流 群 ， 与 技 术 牛 人 们 互 动 交 流 ， 共 同 探 讨 ， 共 同 进 步 哦 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理