大家有考虑过微信公众平台的注入么

Valo洛洛 (tomorrow.) | 2013-08-08 19:04

微信公众平台注入

RT

[原文地址]

相关讨论:

1#

Icyblade | 2013-08-08 19:09

你这个不是微信的问题吧

我手上也有个微信公众平台,工作流程大概是这样的:

用户发送信息给公众平台后平台会给指定url(我这里是sae)一个post,包含用户输入的内容($content)等

然后sae处理post之后给微信服务器一个post(还是get,忘了= =!),实现了用户接收到回复的功能

可能是你这个平台背后的那个sae(或者bae等东西)没有过滤$content

2#

xsser (十根阳具有长短!!) | 2013-08-08 19:10

我考虑过!!!!!真心的!!!!!!!

3#

xsser (十根阳具有长短!!) | 2013-08-08 19:10

这个案例很经典啊 我喜欢!!!!

4#

whking | 2013-08-08 19:14

好经典的案例啊!

5#

疯狗 (谁淫荡啊谁淫荡) | 2013-08-08 19:17

射到后面了?

6#

z@cx (消失半年,朋友们,半年后见) | 2013-08-08 19:23

整理文档吧!!!!

7#

circus | 2013-08-08 19:25

@Valo洛洛 碉堡

8#

CCOz | 2013-08-08 19:26

考虑过,而且我会说我搞下了若干大型公众平台的数据库么?

9#

bystander | 2013-08-08 19:28

这个取决于公众平台帐号自己的服务器安全情况,和微信没关系,不过,非常犀利了。。

10#

z7y (我从前有个很好的小伙伴,他叫VIP,后来他死了。) | 2013-08-08 19:30

·········这个案例不错

11#

x7iao (宇宙黑阔。) | 2013-08-08 19:39

good job

12#

imlonghao (博客寻友链 http://imlonghao.com/) | 2013-08-08 19:40

api接到的服务器问题吧 。。

13#

imlonghao (博客寻友链 http://imlonghao.com/) | 2013-08-08 19:41

很赞

14#感谢(1)

Valo洛洛 (tomorrow.) | 2013-08-08 19:42

这是我下午在开发自己的公众平台的时候突然想到的,后端在sae,语句中keyword没过滤就这样了。可以说只是理想条件下,图片是为了说明问题确实可能存在,仅为大家提供一个思路。

15#感谢(1)

Valo洛洛 (tomorrow.) | 2013-08-08 19:45

安全意识不足的程序员可能觉得微信这个不会存在安全问题,就不会过滤吧,只能说存在这种美丽的可能。

16#

Icyblade | 2013-08-08 19:53

@Valo洛洛 感觉可能性有点大

我的那个应用会把用户发送的$content直接加到数据库里面

自己测试的时候发送单引号直接2b了

于是我就addslashes了

中小规模的平台的话= =

17#

itleaf (? 你死晕) | 2013-08-08 21:04

你们去测试把~

wp整合weixin的一个插件下载

18#

明. (????????????????????????????????) | 2013-08-08 22:14

这不是微信公众平台的注入吧。这是有些公众号用开发模式 自动回复的注入吧!

19#

无敌L.t.H (:?门安天京北爱我) | 2013-08-08 22:39

Struts 2的都可能有

20#

核攻击 (统治全球,奴役全人类!毁灭任何胆敢阻拦的有机生物!) | 2013-08-09 09:58

Nice~

21#感谢(1)

Valo洛洛 (tomorrow.) | 2013-08-09 12:24

@itleaf 我还以为是wp系统- -

22#感谢(1)

Valo洛洛 (tomorrow.) | 2013-08-09 12:25

@Icyblade 我很诧异,sae没开gpc?

23#

Valo洛洛 (tomorrow.) | 2013-08-09 12:25

@bystander 对 就是开发模式 自己开发的时候的问题

24#感谢(1)

Valo洛洛 (tomorrow.) | 2013-08-09 12:26

@xsser 我发现我说了这是我自己构造的测试后,就没人感兴趣了- -

25#

Icyblade | 2013-08-09 12:50

@Valo洛洛 不是说现在的php都不开gpc了么

26#

Valo洛洛 (tomorrow.) | 2013-08-09 13:03

@Icyblade 哈?为啥子

27#

s0mun5 | 2013-08-09 13:47

test 头像

28#

pysolve (你说我是错的,那你最好能证明自己是对的。) | 2013-08-09 13:52

恩 是该公众号自己启用了开发模式后自己后端的安全问题。

29#

GaRY | 2013-08-09 14:19

微信只是个桥梁,攻击的点还是平台开发者的后端,而不是微信的后端。

不过这的确是个好途径,well done

30#

Icyblade | 2013-08-09 14:26

@Valo洛洛 这里

5.4.0 Always returns FALSE because the magic quotes feature was removed from PHP.

我记得有篇文章谈应用层服务层XX层的时候提到过说gpc这种东西应该是代码层(?)的事情而不是服务层(?php)的事情

31#

saviour (Saviour.Com.Cn 正在备案中~~~) | 2013-08-09 14:37

@xsser 我感觉 应该不会是公众平台的事情吧 应该是他看走眼了吧!

32#

s0mun5 | 2013-08-09 14:38

@Icyblade 是那么回事,我的那个平台,如果开gpc,输入的密码有单引号,那就2b了,只能在代码里需要的地方过滤一下

33#

saviour (Saviour.Com.Cn 正在备案中~~~) | 2013-08-09 14:38

我也有公众平台!

34#

s0mun5 | 2013-08-09 14:40

@saviour 请看评论

35#

saviour (Saviour.Com.Cn 正在备案中~~~) | 2013-08-09 14:40

@Valo洛洛 只能爆你的网站的库吧!

36#

Spid3r (Just do it.) | 2013-08-09 23:36

碉堡 - -

37#

saline (碧池就是碧池) | 2013-08-10 00:35

思路决定出路

38#

gainover (">_< ' / & \ 看啥,没见过跨站字符么) | 2013-08-12 12:58

下次我做个平台,你一注入,我直接回复给你一个WEBSHELL~~

39#

imlonghao (博客寻友链 http://imlonghao.com/) | 2013-08-12 13:59

@gainover 自动回复,大神别注了,来来来,给你shell。。。

40#

Skull ((?data;)) | 2013-08-12 14:00

碉堡

41#

123 (v2ex) | 2013-08-12 14:46

思路不错,直接搞每个公共平台的后端,没过滤的就惨了

42#

p0di | 2013-08-12 14:49

好想法。

43#感谢(1)

Valo洛洛 (tomorrow.) | 2013-08-12 17:07

@gainover 求shell ~

44#

circus | 2013-08-14 18:06

@gainover 23333

45#

px1624 (aaaaaaaaa) | 2013-08-14 20:09

@gainover @xsser @疯狗 怎么觉得这不是公众平台的注入啊,到像是两个人配合性的在聊天、、、、

46#

Valo洛洛 (tomorrow.) | 2013-08-14 21:43

@px1624 这个确实是注入,开发模式的,后端的程序是自己开发的,不做过滤就这样了

47#

疯狗 (谁淫荡啊谁淫荡) | 2013-08-15 19:32

@px1624 给后端应用射了,微信做为一个中转方,不过作者是去掉了过滤配合了一下而已,如果其他公众程序开发不周,确实是有可能出现这种问题的,只不过现在还没有真实案例啊

48#

px1624 (aaaaaaaaa) | 2013-08-15 19:55

@疯狗 额,原来是这样额。去掉过滤,配合额。

49#

suolong (永远不再败。) | 2013-08-21 11:23

开发模式程序员没有过滤变量,还有就是这个变量竟然符合数据库查询然后把结果返回给了客户。