更多精彩 >

微信现克隆漏洞,一条消息可盗刷微信钱包,官方回应:已修复

2018-02-13 19:15:00   来源:雷锋网  作者:又田 

摘要:鸡年最后几天,微信破天荒推送了一则漏洞修复文章。

鸡年最后几天,微信破天荒推送了一则漏洞修复文章。


雷锋网(公众号:雷锋网)消息,微信官方公众号微信派2月12日对外推文承认漏洞存在,并表示已于2月9日针对该漏洞紧急进行了版本更新,用户可尽快升级至6.63版。当然,没有升级微信版本的用户也不必担心,微信团队已第一时间对可能存在的恶意攻击,在服务端后台进行了拦截。换句话说,不管怎样,你的微信都是安全的。

微信现克隆漏洞,一条消息可盗刷微信钱包,官方回应:已修复


围观群众纷纷露出八卦脸,要知道坐拥8亿多用户的微信此前也多次被曝出漏洞问题。如2014年,有白帽子称,只需向用户发送一个公众号文章链接,截取其中的key信息,然后就可拼接扫码登录确认页请求,从而完美劫持、登录他人微信账号。此后,微信也曾出现“两位数字+15个句号”的bug及朋友圈漏洞等事件。


为何只有这一漏洞受到了官方推文的“特殊优待”?只有一个解释,该漏洞影响极大。


受到了“特殊优待”的bug


漏洞提交方阿里安全实验室表示,此次微信的漏洞是一个目录遍历型漏洞,影响范围非常广,除了微信刚刚紧急发布的6.6.3版本,之前所有的安卓版本都受影响。


雷锋网了解到,虽然该漏洞本身很简单,但风险危害十分巨大,因为可以远程任意代码执行,所以理论上能做到任何事。  比如克隆微信,只需发一条消息就可以完整克隆受害者的微信账号,并实现微信钱包支付和窃取隐私信息的操控。


具体来说,微信受害者接收点击一条链接消息后,会在完全无感知的情况下被攻击者克隆账户,历史聊天记录也会被悉数窃取,攻击者甚至还能同步接收克隆账户的新消息。值得注意的是,放着大量资金的微信支付也未能幸免,都会被克隆账号操控并完成购物。


微信现克隆漏洞,一条消息可盗刷微信钱包,官方回应:已修复

微信现克隆漏洞,一条消息可盗刷微信钱包,官方回应:已修复

微信现克隆漏洞,一条消息可盗刷微信钱包,官方回应:已修复

微信现克隆漏洞,一条消息可盗刷微信钱包,官方回应:已修复

微信现克隆漏洞,一条消息可盗刷微信钱包,官方回应:已修复

▲漏洞克隆微信操控账号演示图


除此之外,攻击者还可以完全控制受害者的微信程序,把受害者变成自己手中的“提线木偶”。


春节将至,谨慎点击


事实上,2月1日微信才正式发布6.6.2版本,2月7日收到阿里和国家相关部门通报的漏洞信息后,于2月9日连夜修复漏洞并紧急发出版6.6.3版。要知道微信惯例是在新旧两个版本间隔一月之久,此次更新提前足以看出漏洞潜在的风险之大。


“微信的聊天记录中包含了用户的诸多隐私,而微信支付关乎到我们的财产安全,所以这是一个非常严重的安全问题,如果被黑产抢先利用,会给民众的隐私和财产安全造成重大威胁。”阿里安全资深安全专家杭特表示。


春节将至,大家互相发红包和贺词已成为常态,杭特提醒大家应尽快升级微信到最新版本,同时谨慎点击陌生人发来的文件和小程序,保护好自己的隐私和财产安全。

2.jpg

猜你喜欢

拼多多小程序加入微信限时推广

微信拼多多小程序

腾讯科技讯 今日有网友发现微信客户端“钱包-限时推广”中新增加了“拼多多”选项,点击该选项后可以直接...

6天前

全世界都在“喜迎国庆” 境外商家放出微信支付免单大招

微信境外支付

腾讯科技讯 每年10.1-10.7都是中国国庆黄金周假期。其实一到国庆节,不止国人兴奋,世界各地的商...

2018-09-30

微信与微信公众号的焦虑

微信公众号

一路驰骋的微信公众号从未像2018年这么焦虑过。

2018-09-28

线下长尾市场如何玩转小程序?微信发布最新措施为服务商“支招”

微信小程序服务商

微信团队表示,“我们希望通过为服务商提供全方位的服务,挖掘小程序在长尾市场的更多深度玩法。”

2018-09-26

腾讯的2B焦虑

腾讯微信

腾讯正酝酿让SNG社交网络事业群旗下的腾讯云业务成为一个全新的事业群(BG),与微信事业群等七大事业...

2018-09-26

流量时代结束,新技术崛起,新家装时代路在何方?

互联网家装

家装行业从互联网家装向新家装的转型尤为引人注目。

2018-06-24

你有多少比特币?

投资比特币

2017 年最后悔的,可能是没有重仓比特币。

2018-06-24

盒马鲜生CFO盛聪:靠这几招,做到极致新鲜

盒马鲜生盛聪

盒马鲜生是如何做好新零售的?

2018-06-24

大起大落,小米延迟CDR上市背后的思考

小米

证监会84问锤锤扎实,CDR延迟到什么时候?

2018-06-24

他慢得像乌龟,依然打下一个年轻人心中的理想王国

星巴克豆瓣

它可能是中国互联网世界中唯一的原创,不管结局如何,都值得尊敬。

2018-06-24

徐小平:合伙人比商业模式更重要

商业模式合伙人

丘吉尔说,世界上没有永远的朋友,只有永恒的利益。于是很多创业者相信独行侠主义,信奉自己的人生哲学。但...

2018-06-24

《创造101》,一夜燃烧,一切未知

创造101杨超越

整个杭州的气氛都是传染性的,散发着梦幻味道。

2018-06-24

投资家网(www.investorscn.com)实时提供专业的创业、投资资讯和深度分析。长按右侧二维码添加"投资哥"可与小编深入交流,并可加入微信群参与官方活动,赶快行动吧。

10月26日上架销售,郭明池预测iPhone XR将大卖

据CNBC网站报道,知名苹果分析师郭明池(Ming-Chi Kuo)发布的的一份最新研究报告显示,消...

特斯拉新建香港大型充电站启动 挽救销量下滑

受香港取消电动汽车税收优惠政策影响,特斯拉(256.61, -2.17, -0.84%)在港销量大幅...

保时捷否认上市传闻 但承认IPO是汽车转型的好选择

当地时间周一,德国豪华汽车制造商保时捷(Porsche)否认其将进行IPO的传言。

那些与贾跃亭相互牵缠、耽误和伤害着的人们

面孔各异的入局者,向贾跃亭寻求人生价值和商业利益的兑现,却频频落空。

分析师称索尼股价还有将近30%的上涨空间

根据路透社的相关数据显示,分析师们给予索尼的平均目标股价是7730.50日元(约合69美元),这个价...

“场景赋能•驱动有数”,神策数据2018数据驱动大会在京成功举办

“场景赋能•驱动有数”,神策数据2018数据驱动大会在京成功举办

10 月 16 日,以“场景赋能•驱动有数”为主题的神策数据 2018 数据驱动大会在北京丽亭华苑酒...

2018“海峡杯”福建(晋江)双创大赛北京分赛区复赛落幕

2018“海峡杯”福建(晋江)双创大赛北京分赛区复赛落幕

“创新领航,创业晋江”第三届“海峡杯”福建(晋江)创新创业大赛北京分赛区复赛10月10日在北京清创空...

没经历过失败的CEO不足以谈创业,真格学院一周年庆祝活动圆满举行

没经历过失败的CEO不足以谈创业,真格学院一周年庆祝活动圆满举行

没经历过失败的CEO不足以谈创业,“至暗时刻,绝处逢生——见证创业者的涅槃之旅”论坛暨真格学院一周年...

智鉴未来·Money20/20中国大会开启 金融科技初创企业成长之旅

智鉴未来·Money20/20中国大会开启 金融科技初创企业成长之旅

如果你是金融科技领域初创企业,怀抱一个改变世界的强烈梦想,拥有一个关乎金融科技未来的超级创意,那么,...

打卡10.26中关村智能峰会,跟50+投资机构挨个“确认眼神”

打卡10.26中关村智能峰会,跟50+投资机构挨个“确认眼神”

中关村智能科技应用发展与资本对接峰会即将于10月26日,在北大博雅国际酒店举办。截至10月10日,已...