search

TKkk-iOSer / WeChatPlugin-MacOS

微信小助手
MIT License
14.07k stars 2.5k forks source link

微信防撤回外挂存在巨大安全风险。 #410

Open qiuyulcc opened 5 years ago

qiuyulcc commented 5 years ago

10 月 23 日，腾讯信息安全研究部门——玄武实验室发布了来自微信外挂的安全风险公告。玄武实验室联合独立安全研究员 em 发现，针对 Mac OS 系统的两款微信防撤回外挂存在安全问题。 安装了此外挂的用户只要在浏览器里访问攻击者页面并停留一分钟左右，攻击者即可拿到该用户的好友列表，聊天记录，甚至以该用户的身份给好友发送消息，对用户的信息安全造成巨大威胁。

开发者怎么说

TKkk-iOSer commented 5 years ago

10天前修复 https://github.com/TKkk-iOSer/WeChatPlugin-MacOS/pull/398 另外更新 1.7.3 之后默认是不开启 GCDWebServer，不用 Alfred 之类的话不打开就行，实在害怕的话就卸载吧

qiuyulcc commented 5 years ago

#

10天前修复 #398 另外更新 1.7.3 之后默认是不开启 GCDWebServer，不用 Alfred 之类的话不打开就行，实在害怕的话就卸载吧

开发者没恶意就好 只是好奇

shuwangfei commented 5 years ago

https://xlab.tencent.com/cn/2018/10/23/weixin-cheater-risks/#more-398

才看到，goodlock

sfdye commented 5 years ago

@shuwangfei 感谢分享，学习了

webryan commented 5 years ago

10天前修复 #398 另外更新 1.7.3 之后默认是不开启 GCDWebServer，不用 Alfred 之类的话不打开就行，实在害怕的话就卸载吧

现在一直在用alfred， 有办法修改默认端口之类的么？ 这样会降低被hack的概率

sfdye commented 5 years ago

@webryan 用最新版就行了啊

webryan commented 5 years ago

@webryan 用最新版就行了啊

最新版在开了alfred的情况下，http://127.0.0.1:52700/wechat-plugin/user 也是可以访问的。

sfdye commented 5 years ago

@webryan 能访问localhost没问题 你看下#398 就明白了 修复的问题是不会遭到dns劫持

RichieVincent commented 5 years ago

@qiuyulcc 遇到同样的问题 微信被冒充 ；插件果然不安全