在新年時微信舉行了網上利是運動,用戶可以透過微信發送「電子利是」給朋友領取金錢。不過近日有用家發現自己的紅包無故被「拆開」,利是錢空空如也。
超低級錯誤
原來這是因為領取紅包存在漏洞,駭客可以繞過系統權限領取他人的利是,而且這是一個非常低級的錯誤,駭客「白帽黑客only-guest」表示,客戶端網址中後面有一個 sendid=xxxxx 的參數就那封「利是」的 ID ,只要修改這組數字可以打開其他人的利是收錢。
外掛自動「搶人錢」
有人更寫了外掛,狂用亂數 ID 試驗「攞錢」,不到 20 分鐘就多了 230 元人民幣。目前微信指他們已經確認這個漏洞,並跟業務部門商討解決方案。
新年期間應該是人人開心,聽小鳯姐高歌唱「喜氣洋洋」才對。微信活動這種漏洞讓收到紅包的用戶被清袋,有點「大吉利是」的味道..
來源 : 白帽黑客only-guest
相關文章:
微信將解決佔用幾十GB儲存空間問題 新功能 14 天自動清理原相片、影片 騰訊公佈微信小程序港澳使用數據 今年頭 9 個月交易額飆升七成 微信刷掌支付登陸澳門 境外首站支援 + 用掌紋掌靜脈辨識技術