别人登了我的如何登陆别人微信号码玩游戏，然后我在登微信会把他游戏挤掉吗？

来源：蜘蛛抓取(WebSpider) 时间：2017-06-25 13:43 标签： 微信公众号玩游戏
你知道微信登陆页面上站着的那个人是谁吗？
你知道微信登陆页面上站着的那个人是谁吗？
一个孤独的小人，面对巨大的地球站在那里，这就是微信的启动画面，许多人对此非常熟悉。但是你们知道这张图的真正含义吗？？？
图片里的地球为云团笼罩，只露出一部分地貌特征，需要对世界地图比较熟悉的有心人才能发现这一点。不过，因为有了我，一切都变得很简单了。
非洲大陆东北角上，那狭长的红海，和东南角上的马达加斯加岛，我都用红圈标注了出来。通过对比，这是一望而知的事情。两张图的区别在于，地图是在赤道上空看地球，而照片要偏南半球很多，以至于欧洲被挤到了图片之外，相反是南极洲在图片下方占据了大量面积。问题在于：各个国家习惯性地把自己国家置于地图的中心，例如下面英国出版的世界地图，和你平常看到的世界地图绝对不一样：中国不在地图的中心，是不是这样?那么，为什么微信的启动画面上的地球是正对非洲，而不是中国呢?
因为它不是地图，而是一张照片，一张真实的照片，用哈苏照相机在4万5千公里外拍摄的地球照片。
这张照片的官方编号是：AS17-148-22727，民间给它的名字叫“蓝色弹珠”(The
BlueMarble)。要谈一下这张照片，必须说到美国的“阿波罗登月计划”。从1961年5月到1972年12月的十一年时间里，美国持续进行了一系列载人登月太空飞行。其中，有6次成功登上月球。而大家最为熟悉的失败案例是阿波罗13号登月计划，它被拍成了一部非常精彩的电影。蓝色弹珠这张照片拍摄于日，当时宇航员在阿波罗17号飞船上，三名宇航员中的某一位用一台80毫米镜头的哈苏照相机，拍下了完整的地球照片。这张照片非常难得，因为阿波罗17号飞船执行的是最后一次阿波罗登月计划，从此以后，人类已经很久没有飞船抵达这个距离对地球进行拍照。我们看到的大量地球的照片，都是合成照，而不是太空实拍。站在宇航员的角度，于4万5千公里之外看过去，地球就像是一颗很小的蓝色弹珠，这就是这张照片名字的由来。
微信的启动画面就是用了这张“蓝色弹珠”，人类最近一次在太空中远眺母星的景象。作为一种人际沟通工具，没有第二张图能更好地表达出人类内心的孤独，以及地球家园的美好。所以，整个画面有一种孤清中的淡淡暖意，给人的感觉是文艺到死。
话又说回来了，这个小人到底是谁呢？
他就是张小龙。
张小龙创造了微信，但很少人知道他创造微信之前三年的孤独岁月。马化腾说，他的人生能不能到另一个高度，就看微信了。他给了张小龙足够的研发空间和资源平台，才成全了微信的情怀。我们看到微信登陆界面上那个眺望蓝色星球的孤独小孩，就是在张小龙再三坚持下的结果。我从没有见过一个不孤独的人，会发出耀眼的光芒！
已投稿到：
以上网友发言只代表其个人观点，不代表新浪网的观点或立场。聊着聊着我就上了你……的微信（两处都可以劫持微信登录的漏洞）
(window.slotbydup=window.slotbydup || []).push({
id: '2611110',
container: s,
size: '240,200',
display: 'inlay-fix'
您当前位置： &
[ 所属分类
| 时间 2016 |
作者 红领巾 ]
聊着聊着我就上了你……的微信（两处都可以劫持微信登录的漏洞）
呆子不开口
未授权访问/权限绕过
厂商已经确认
认证设计不合理,用户敏感信息泄露,未授权访问,敏感接口缺乏认证
一、mac版客户端登录的劫持
mac版客户端的扫码登录确认页的请求为如下（有些以星号代替了）
http://szsupport./cgi-bin/mmsupport-bin/qrcodelogin?username=*********&key=*************&clientversion=&devicetype=android-18&lan=zh_CN&uuid=AXBIICc4sUSDsFnefkNP&pass_ticket=DebNjGnP2dJnq1bMvHvgL%2BezqqE70Ry9iWB625%2FRT8RRnwCD3tlq3qxuxG5YPzhx
经过测试可发现，此请求无需用户扫码动作确认，也没有签名保护，其中username和uuid分别是用户的微信号和二维码字符，很容易得到。key无法被攻击者猜出，但是也可以通过别的方式得到，比如如下方式
微信的公共账号发的文章url为这种：http://mp./s?__biz=**********==&mid=&idx=1&sn=bdc73ae816f2e0b1f2f2&from=singlemessage&isappinstalled=0#rd
在微信中打开这种链接，最终的目标页会被微信浏览器加上key和pass_ticket参数，这样只要我们能在这篇文章中插入个自定义url的图片即可通过referer偷到这个key。公众账号发表的文章不可以直接写自定义的IMG，但通过修改http请求里的参数就可以把图片地址换成我们自己服务器上的url了
这样只要发送给受害者点击，或者欺骗他扫描此链接的二维码，然后就可以得到key，然后拼接那个扫码登录确认页请求，点击确认登录，我们的客户端就可以自动登录了
二、网页版微信登录的劫持
网页版客户端的扫码登录确认页的请求为如下（有些以星号代替了）
http://login./confirm?uuid=e921eed1fbf84e&key=*****************&lang=zh_CN&scan=&clientversion=&devicetype=android-18
经过测试可发现，此请求也没有签名保护，但需用户扫码动作确认，其中uuid分别是二维码字符，很容易得到。key的话也可以通过如上方式获得。所以我们需要做的就是再让用户扫下码。
网页版二维码链接原文是这种https://login./l/e921eed1fbf84e，经测试发现，可以直接把这个链接发送给用户访问，也可以达到用户扫描的效果
这样只要给受害者发送两个链接诱惑他点击，或者让他点击一个页面然后诱惑他去扫描内容中的二维码，就可以得到key，并让我们的请求合法。然后再拼接那个扫码登录确认页请求，点击确认登录，我们的网页版就可以自动登录了
漏洞证明：
首先在公众账号的内容中加入自定义图片
mac客户端劫持：
先发送欺骗她点击
然后我会收到
然后在浏览器点击确认登录
最后登录成功
网页版微信劫持：
然后收到key
修复方案：
如果没有需求，尽量公共账号发的消息文章中不允许有自定义src的图片
保护好get参数key不被referer等泄露，如果可以尽量用post
mac版的扫码登录需要做成和网页版一样，需要用户扫码确认才可以
对登录确认页的参数进行签名校验
版权声明：转载请注明来源 呆子不开口@乌云
本文web安全相关术语:黑盒测试方法 黑盒测试和白盒测试 网站安全检测 360网站安全检测 网络安全知识 网络安全技术 网络信息安全 网络安全工程师
转载请注明本文标题：本站链接：
分享请点击：
1.凡CodeSecTeam转载的文章,均出自其它媒体或其他官网介绍,目的在于传递更多的信息,并不代表本站赞同其观点和其真实性负责；
2.转载的文章仅代表原创作者观点,与本站无关。其原创性以及文中陈述文字和内容未经本站证实,本站对该文以及其中全部或者部分内容、文字的真实性、完整性、及时性，不作出任何保证或承若；
3.如本站转载稿涉及版权等问题,请作者及时联系本站,我们会及时处理。
登录后可拥有收藏文章、关注作者等权限...
CodeSecTeam微信公众号
走得再慢，也比站在原地成功。
手机客户端“微信登陆”功能内测，我们马上就可以通过微信账号登陆游戏了 - 推酷
“微信登陆”功能内测，我们马上就可以通过微信账号登陆游戏了
游戏葡萄原创专稿，未经允许请勿转载
游戏葡萄6月28日消息，昨天，
“微信登陆”功能正式开始邀请内测。在第三方网站应用或者移动端应用接入“微信登陆”功能之后，用户将可以选择通过微信授权一键登录，被授权第三方网站或者App将获得用户的头像、昵称等基本信息，通过微信登录实现跨平台同一账号。而微信关系链或许也将得到某种程度的开放。
根据微信开放平台资源中心的介绍，应用的“微信登陆”是基于OAuth2.0协议标准构建的微信OAuth2.0授权系统。 在进行微信OAuth2.在进行微信OAuth2.0授权登录接入之前，在微信开放平台注册开发者账号，并拥有一个已审核通过的网站应用，并获得相应的AppID和AppSecret，申请微信登录且通过审核后，可开始接入流程。
此外，微信将提供授权关系接口， 用于获取用户个人信息。开发者可通过OpenID来获取用户基本信息。特别需要注意的是，如果开发者拥有多个移动应用、网站应用和公众号，可通过获取用户基本信息中的unionid来区分用户的唯一性，因为只要是同一个微信开放平台帐号下的移动应用、网站应用和公众号，用户的unionid是唯一的。换句话说，同一用户，对同一个微信开放平台下的不同应用，unionid是相同的。
而这也将意味着，我们马上就将可以通过微信账号登陆各种应用了。相比普通的游客登录或者快速登陆，微信登陆的好处在于，将不会再出现玩家在某些情况下未绑定账号在重装游戏或者更换设备后无法登陆原有账号的情况。
在内测期间，申请“微信登陆”权限的应用需要首先开通微信支付权限。目前，腾讯新闻、大众点评、自选股、美丽说等应用已经开通了开通了这一权限。其中，我们注意到自选股的授权信息中，出现了一项“寻找与你共同使用该应用的好友”的选项，这或许意味着，在“微信登陆”功能之外，特定情况下，微信关系链也将得到某种程度的开放。
已发表评论数()
请填写推刊名
描述不能大于100个字符!
权限设置： 公开
仅自己可见
正文不准确
标题不准确
排版有问题
主题不准确
没有分页内容
图片无法显示
视频无法显示
与原文不一致濉溪新闻网 濉溪地区门户网站

我要回帖

更多关于 微信公众号玩游戏 的文章

 

随机推荐