腾讯微信存非法记录其他网站账号密码行为_软件资讯_风信网

披露状态:

2013-03-18: 细节已通知厂商并且等待厂商处理中
2013-03-18: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

通过安卓版本微信内置浏览器访问微博应用,授权成功后发现微信非法记录我的微博账号。

详细说明:
无聊用RE文件管理器翻程序数据信息,等翻到微信数据的时候我就惊了,微信的数据库里竟然有我微博的账号密码,而且还是明文。

开始想不通微信怎么会记录我的微博账号,后来才想起曾经用微信的内置浏览器授权过微博应用,应该就在那时微信记录了我的微博账号与密码。

既然微信已经提取到了我的账号密码存在了本地,那么也就有可能被泄露出去。。

漏洞证明:
数据库所在路径如图

腾讯微信存非法记录其他网站账号密码行为_软件资讯_风信网

webview.db中有cookies表和password表。cookies表中存储了经微信内置浏览器访问网站的cookies,有一定的隐私信息。而password表就直接存储的是明文微博账号密码。

腾讯微信存非法记录其他网站账号密码行为_软件资讯_风信网

密码如下图:

腾讯微信存非法记录其他网站账号密码行为_软件资讯_风信网

可见地址是微博授权地址,账号和密码就摆着呢。

修复方案:
我不懂你懂。

漏洞回应
厂商回应:
危害等级:无影响厂商忽略

忽略时间:2013-03-18

厂商回复:
非常感谢报告。
这是Android下webview控件的机制。微信并不会去记录任何的此类帐户密码。

最新状态:
暂无