黑客军团粉丝来建个微信群讨论啦~~
　　黑客军团粉丝来建个微信群讨论啦~~本群不是黑客群！本群不是黑客群！本群不是黑客群！
乌拉拉 ~~ 走起啦~~
欢迎大家加群讨论啦~~
二维码过期啦
······
([已死亡])
剧情 / 犯罪
涅尔斯·阿登·欧普勒夫
拉米·马雷克 / 克里斯蒂安·史莱特 / 迈克尔·吉尔 / 卡莉·查肯
& 2005－, all rights reserved聊着聊着我就上了你……的微信（两处都可以劫持微信登录的漏洞） _黑客技术学习论坛 -
&对不起，本站资源暂不对游客开放,点击左上方分享按钮试试哦...&
简要描述：
聊着聊着我就上了你……的微信（两处都可以劫持微信登录的漏洞）
详细说明：
一、mac版客户端登录的劫持
mac版客户端的扫码登录确认页的请求为如下（有些以星号代替了）
http://szsupport./cgi-bin/mmsupport-bin/qrcodelogin?username=*********&key=*************&clientversion=&devicetype=android-18&lan=zh_CN&uuid=AXBIICc4sUSDsFnefkNP&pass_ticket=DebNjGnP2dJnq1bMvHvgL%2BezqqE70Ry9iWB625%2FRT8RRnwCD3tlq3qxuxG5YPzhx
经过测试可发现，此请求无需用户扫码动作确认，也没有签名保护，其中username和uuid分别是用户的微信号和二维码字符，很容易得到。key无法被攻击者猜出，但是也可以通过别的方式得到，比如如下方式
微信的公共账号发的文章url为这种：http://mp./s?__biz=**********==&mid=&idx=1&sn=bdc73ae816f2e0b1f2f2&from=singlemessage&isappinstalled=0#rd
在微信中打开这种链接，最终的目标页会被微信浏览器加上key和pass_ticket参数，这样只要我们能在这篇文章中插入个自定义url的图片即可通过referer偷到这个key。公众账号发表的文章不可以直接写自定义的IMG，但通过修改http请求里的参数就可以把图片地址换成我们自己服务器上的url了
这样只要发送给受害者点击，或者欺骗他扫描此链接的二维码，然后就可以得到key，然后拼接那个扫码登录确认页请求，点击确认登录，我们的客户端就可以自动登录了
二、网页版微信登录的劫持
网页版客户端的扫码登录确认页的请求为如下（有些以星号代替了）
http://login./confirm?uuid=e921eed1fbf84e&key=*****************&lang=zh_CN&scan=&clientversion=&devicetype=android-18
经过测试可发现，此请求也没有签名保护，但需用户扫码动作确认，其中uuid分别是二维码字符，很容易得到。key的话也可以通过如上方式获得。所以我们需要做的就是再让用户扫下码。
网页版二维码链接原文是这种https://login./l/e921eed1fbf84e，经测试发现，可以直接把这个链接发送给用户访问，也可以达到用户扫描的效果
这样只要给受害者发送两个链接诱惑他点击，或者让他点击一个页面然后诱惑他去扫描内容中的二维码，就可以得到key，并让我们的请求合法。然后再拼接那个扫码登录确认页请求，点击确认登录，我们的网页版就可以自动登录了
漏洞证明：
首先在公众账号的内容中加入自定义图片
mac客户端劫持：
先发送欺骗她点击
然后我会收到
然后在浏览器点击确认登录
最后登录成功
网页版微信劫持：
然后收到key
修复方案：
如果没有需求，尽量公共账号发的消息文章中不允许有自定义src的图片
保护好get参数key不被referer等泄露，如果可以尽量用post
mac版的扫码登录需要做成和网页版一样，需要用户扫码确认才可以
对登录确认页的参数进行签名校验
本站内容均经过严格审查筛选，内容健康，如发现违反国家法律法规的內容，请立即联系我们，我们立刻从网站上删除，并致以最深的歉意。
发帖时间： 14:45:02 & | &
查看数：0 & | &
==唯有美食与爱不可辜负===
今天看到一个富二代在我面前吹牛，说他是什么集团的接班人，我当时就笑出声了，一个集团才多大？还好意思吹？我小学一年级的时候老师就告诉我，我是共产主义事业的接班人，我都瞒到了20多年都没对人说，虽然现在还没有人找我具体谈接班的事
信任一个人很难、但再次相信一个人更难！所以别把别人的善良当软弱、别把他人的宽容当懦弱！好脾气的人不轻易发火、不代表不会发火！性子淡的人只是装糊涂、不代表没有底线！
教大家一个生活小窍门：有的衣服容易沾油污，一般洗衣液什么的很难洗干净，不少人为此感到头疼。其实呢，不妨在洗的时候吃点头痛药，头就没那么疼了
朋友会背叛你的概率是百分之六十，创业失败的概率是百分之七十，表白失败的概率是百分之八十，异地恋分手的概率是百分之九十，人会死的概率是百分之百。 怕？ 那就什么也别做了。
追逐梦想，万一实现了呢！
即日起会员主动发布教程 对其他朋友有过帮助的 找客服领取红包奖励 10-100元您的举报已经提交成功，我们将尽快处理，谢谢！
(window.slotbydup=window.slotbydup || []).push({
id: '2081942',
container: s,
size: '1000,60',
display: 'inlay-fix'江苏 连云港
各位宝妈，支支招，我看了很不爽，怎么办
江苏 连云港
怎么还在申核中，哎还让不让人发帖啦，
直接在群里说：我是他老婆。然后退群
江苏 连云港
#2 糖果769
直接在群里说：我是他老婆。然后退群
谢谢宝妈建议，
我老公朋友也是的，真是隔应我
江苏 连云港
#4 - Emotiona°陪伴
我老公朋友也是的，真是隔应我
那宝妈怎么做的呢
江苏 连云港
我叫我老公也拉我进群，
直接和你老公说叫他自己退群，你不喜欢
江苏 连云港
#8 家有大宝小宝~
直接和你老公说叫他自己退群，你不喜欢
如果我老公不同意怎么办呢
退呗，如果是我我也会退
江苏 连云港
#12 香奈儿2016
退呗，如果是我我也会退
好，必须退
如果是我我直接退，就说我不喜欢？
江苏 连云港
#14 宇轩宝宝bb
如果是我我直接退，就说我不喜欢？
退了是好，可能会闹夫妻不愉快，
还是退群吧！把萌芽直接扼杀在摇篮里，管它有事没事儿的，直接扼杀!！！！
直接退了就行了
江苏 连云港
#16 宝儿贝儿！！
还是退群吧！把萌芽直接扼杀在摇篮里，管它有事没事儿的，直接扼杀!！！！
嗯，谢谢宝妈建议
江苏 连云港
#17 希望是二胎的二胎
直接退了就行了
好的，谢谢你
江苏 连云港
#17 希望是二胎的二胎
直接退了就行了
只有注册用户才能发表回复。请
成员:1414636 ,
话题:1212677
&&手机客户端
&&相同预产期
&&同龄宝宝
&&非常有用
上海丫丫信息科技有限公司版权所有
沪B2- 沪ICP备号后使用快捷导航没有帐号？
查看: 23161|回复: 261
你我贷微信今天被黑客搞了！
清零用户5000元奖励
本帖最后由 momo2008 于
16:00 编辑
前言：贴子里有一些同行或该平台的用户对我表示出不满，毕竟年底，谁也不希望自己投的平台天天有人曝光，这个我能理解。在此我解释下，是在我朋友注册之后才添加的对于异常用户作出警告的规则3，如果之前就有，我不会明知故犯。另外我私下跟该平台沟通过N次，让他们剔除掉那7人，给我10人的2000元奖励，稍为弥补下我的损失，因为我确实返现出去4千元现金，大家不信我可以上支付宝打款截图。但平台方毫无诚意，断然拒绝。作为弱势的平台用户，而且我和我的朋友们在平台还有待收，来第三方控诉实属无奈。大家要怪就怪的狂妄与消极的处理态度吧。因为受损害的不是你们，所以你们也不能体会我的心情。
给网友人生无悔的回复：刚看到你的点评，呵呵，是不是因为你我贷把你的回贴作为回击我的武器，给你长脸了？所以赶紧爬过来继续跪舔向主子表示效忠的决心？每个人都是别人的镜子，动不动就用一副高高在上的姿态把别人当作更低一等的人来痛骂的人，其实自身奴性最重。作为不明真相的围观群众，看看热闹就好了，偏偏还一副先知和道德楷模的口气跑来指手划脚，你这么有正义感怎么不去抓贪官呢？你这种人就好比冷血的纳粹，屠杀犹太人就是因为从心底里不将他们当作同类的人，而是劣质的低等动物。请你和你我贷平台一起反思。
而我作为陀思妥耶夫斯基笔下被侮辱与被损害的人，发此贴实为一个弱者无力的并且是无用的反抗。所以最后感谢网贷之家一直保持中立的态度给予我们这些弱者呐喊的空间。此事告一段落。谢谢所有在贴子里声缓我的朋友们，更感谢在你我贷有待收却仍然来支持我合理维权的朋友们！
最后希望大家多多支持我在网贷之家的征文：网贷心理学
================================
话说今天听到一个利好消息，苍天有眼，恶人自有恶人磨，微信被黑后官方论坛一片哗然，为了唔住这事，凡发贴的全被删，后来看实在唔不住了，只好发公告，呵呵！！不多说了，上图：
a.jpg (68.63 KB, 下载次数: 47)
17:15 上传
b.jpg (24 KB, 下载次数: 47)
17:15 上传
c.jpg (77.13 KB, 下载次数: 45)
17:15 上传
aa.jpg (57.89 KB, 下载次数: 45)
17:15 上传
搞了就被搞了吧，还不让说，他们的论坛只允许叫好不允许质疑~有句话怎么说来着，防民之口甚于防川~等着你们一泄千里不可收拾的那天~~
d.png (26.74 KB, 下载次数: 50)
17:17 上传
e.png (23.25 KB, 下载次数: 42)
17:18 上传
f.png (11.81 KB, 下载次数: 46)
17:18 上传
你我贷缺钱是肯定的，上一波活动敛了不少财，暂且应付了提现高峰，但是不厚道地坑推广人，本次推荐活动参与人廖廖无几，又搞了个砸金蛋来坑老投资者，抱怨声此起彼付。。。提现到账也越来越慢了：
g.png (49.33 KB, 下载次数: 50)
17:23 上传
h.png (10.5 KB, 下载次数: 48)
17:26 上传
之前还有人说他家标的秒满，事实是，平台为了制造虚假的抢标现象，标的金额越来越小。。。即使这样，标也满不了，看看老投资人的担忧：
i.png (25.84 KB, 下载次数: 49)
17:29 上传
昨天平台人员跟贴时说他们家从未发生用户的出借资金没有正常收回的情况，呵呵，牛皮吹上天了：
j.png (22.16 KB, 下载次数: 46)
17:31 上传
看看吧，在他们平台投资逾期算你倒霉，不但30天后才给垫付，而且垫付的还只是本金！另外，你我贷的标的信息模糊不透明，信用标占据大半，这个大家都是有目共睹的，大概是因为坏账逾期太多，连年报都不敢出了：
02.png (2.81 KB, 下载次数: 48)
17:33 上传
k.png (2.91 KB, 下载次数: 47)
17:33 上传
l.png (4.55 KB, 下载次数: 45)
17:33 上传
再来说说你我贷的所谓红包，这破平台专忽悠新人，说什么注册送100红包，问题这100红包给你分成七八个小红包，每次只能用一个，投1000元只让你用10元红包，有的新人充值后了解到真相，不想投了要提现，好吧，这缺德平台充值秒到，提现时会给你设出重重障碍，你要是投诉，平台就一套官腔说你触犯了平台的反欺诈系统！额的娘哎，我在充值紧跟着提现，当天就会到，你我贷NB的，提个现就怀疑用户欺诈！明明是你们欺诈新人好吧！！请新人小心点。
我的意思是胡乱黑别人也解决不了什么问题，反而落人口实，跟人打嘴仗骂人既浪费心力和时间，还损人品，实在不智。&
我注册你我贷才第一天，都觉得这人说的全是胡说八道，泼妇骂街的赶脚，，这人人品差的不是一星半点。之家应该清理掉这样的造谣贴，看猴子唱戏的感觉。&
那个herobaobao，本来就是你我贷半道改规则不对呀，楼主是在改规则之前推荐的朋友，凭什么要拿修改之后的规则来扣他奖励呢，更何况是5000不是500，大家要理解下楼主的心情，你我贷不能这么欺负人~楼主有性格，我欣赏&
回复herobaobao
我总没有撸你我贷的羊毛吧？什么发黑帖？事实是你我贷马上不
！ 骗骗新人可以，象我们也经过2个年头了，一看就知道，苟延残喘而已！就凭着客服给注册人一个一个打电话就知道没生意！&
撸羊毛不成就黑平台，难得的是天天发帖黑，这份毅力和坚持也真是醉了，有这精力，你去做大买卖挣钱去啊，贪人家便宜不成就到处黑真有才啊！&
那个herobaobao，本来就是你我贷半道改规则不对呀，楼主是在改规则之前推荐的朋友，凭什么要拿修改之后的规则来扣他奖励呢，不合理呀。欺负楼主还不让人家反抗呀，楼主有性格，我欣赏~
本帖最后由 你我贷上海总部 于
16:03 编辑
您好，我们也理解您被取消奖励的心情，但请不要胡乱指责，为黑而黑，构成诽谤的违法事实！（您自己也提到返现出去4千元现金找人注册，其实这都不是正常合理的推荐行为！）
针对楼主的言论，我们再回应一下。
1、只是微信公众号被恶意盗用，非平台网站被黑！这主要是微信安全机制的问题，上海其他大型公众账号也发生类似情形，涉及单位包括上海天气等微信账号，很早就存在类似的问题了，/93426.html
<font color="#、你我贷论坛上所有反馈这个问题的帖子没有被删，只是合并在一起，发帖用户还得到奖励了。（因用户上传的截图上含有广告内容被误删，稍后立即反删除了。）
帖子.jpg (17.98 KB, 下载次数: 38)
14:12 上传
<font color="#、请楼主删掉帖子里边的骗人广告信息，不要为骗子张目，我们已采取追责措施。
<font color="#、楼主说你我贷论坛只允许叫好不允许质疑，然后又将你我贷论坛上反映提现问题的帖子截图，岂不自相矛盾？
事实上，你我贷论坛会认真倾听用户的声音，所有的问题反馈都会认真解决，一些类似的帖子会合并处理而已，广告帖和恶意灌水的帖子才会删除。
5、你我贷论坛上有用户反映提现慢的问题，主要是对提现规则不太了解导致的，平台都有认真回应。各大平台都有自己的优势，也请不要片面比较。
目前你我贷平台充值、提现都是免费的，从未限制提现，所以请不要无端臆测。论坛上反映提现到账快的帖子也很多，楼主故意忽略了：
6、有人反映逾期没有补偿，其实这是净值贷，只保障本金，这在规则上早有说明：
规则.jpg (42.33 KB, 下载次数: 40)
14:13 上传
事实上你我贷有很好的保障措施，除了净值标和网络信用标是本金保障（只占网站很低的比例），其余借款标逾期都有跟利息相等的罚息补偿，逾期也基本不影响实际收益。你我贷下周会公布2014年年报，欢迎楼主前来围观。
<font color="#、楼主提到你我贷红包的使用规则不好，这点我们会综合用户的意见进行改进，完全不存在忽悠，合理使用红包最高可以提升1%的收益。
8、最后需要说明的是，楼主不是一个人在“战斗”，请大家明辨！欢迎大家理性质疑！
意见0.jpg (56.72 KB, 下载次数: 40)
14:22 上传
意见1.jpg (38.78 KB, 下载次数: 43)
14:14 上传
:回复你我贷上海总部：我看了你们两方面的内容，主要是5000块钱的问题，何不一查到底？是不是楼主自己注册小号？如果是他自己注册的小号，5000块钱的奖励一分没有，如果不是他自己注册的小号，别人注册他下面的，比如同IP，密码雷同，这个应该跟他无关。所以凡事应该以理服人！讲究证据！又比如我在群里推荐的过程中，某人跟我不和，心怀叵测，故意在我下面注册多个账号，故意密码相同，不转换IP（IP是可以随意转换的）这样我就成了封杀的对象了吗？可能我还在替你卖命的推荐。。。。。。 15:38&
:回复 告别过去 :说的有道理支持 15:43&
:你我贷上海总部: 出来说句公道话，不然无赖的嘴脸尽露无遗了！你我贷这么高大上怎么连这都处理不好？是楼主作弊，发出来，让大家都看看。但是如果是他在推荐的过程中，别人多个小号注册在他下面，跟楼主没有毛线关系。比如有人直接在你我贷网站链接注册多个小号，同ip、同密码，应该是你我贷的错吗？是不是？请回答！ 17:24&
本帖最后由 momo2008 于
20:30 编辑
您好，我们也理解您被取消奖励的心情，但请不要胡乱指责，为黑而黑，构成诽谤的违法事实！（您自己也提到返 ...
您好，我们也理解您被取消奖励的心情，但请不要胡乱指责，为黑而黑，构成诽谤的违法事实！（您自己也提到返现出去4千元现金找人注册，其实这都不是正常合理的推荐行为！）
你们现在说我胡乱指责，我跟你们说理时你们回应没？我拿出那么多证据出来你们知错就改没？一副我就说了算的无赖嘴脸。你们既然听不懂人话，就没必要跟你们客气。对待君子用君子的手法，对待你们这样的小人就要用小人的手法。
关于返现的4千元现金，别人走我的链接注册投资，我得到那么多奖励，给人反馈一点不是应该吗？有什么不合常理的？如果返现是违规，你们自己平台不也在做活动给投资者返现，你现在这样说不是自打脸吗？！再说这其中的门道你们难道不清楚？现在来装什么装！就你们这样的平台，不给朋友这么高的返现，人家会投资吗？！
针对楼主的言论，我们再回应一下。
你上次不是抄袭了狄德罗的诗句，说真理是黑不倒的，既然这样还来跟什么贴啊~~自相矛盾不？可笑~~
1、只是微信公众号被恶意盗用，非平台网站被黑！
我有说你们的网站被黑？不过也是早晚的事。
2、你我贷论坛上所有反馈这个问题的帖子没有被删，只是合并在一起，发帖用户还得到奖励了。（因用户上传的截图上含有广告内容被误删，稍后立即反删除了。）
你们既然能删就能恢复，反正现在你们怎么说就怎么是了~~继续修补吧，维稳吧~~
3、请楼主删掉帖子里边的骗人广告信息，不要为骗子张目，我们已采取追责措施。
呵呵，你让我删我就删？我让你们偿还我奖励，你们怎么不偿还呐？再说人家是替天行道，很值得赞赏！为什么那人不搞别的平台，专搞你们呢！请你们反思下！
4、楼主说你我贷论坛只允许叫好不允许质疑，然后又将你我贷论坛上反映提现问题的帖子截图，岂不自相矛盾？
因为那些质疑提现慢的贴子已被平台维稳人士炮轰，你们大概胜算在握所以也觉得没必要删除了~大家如果想要被炮轰的感觉，可以去该平台的论坛发个贴子试试~~
5、你我贷论坛上有用户反映提现慢的问题，主要是对提现规则不太了解导致的，平台都有认真回应。各大平台都有自己的优势，也请不要片面比较。目前你我贷平台充值、提现都是免费的，从未限制提现，所以请不要无端臆测。
呵呵，用储蓄卡充值未投资的7天后才给处理提现，也就你们这样NB的平台了。另外，我有说限制提现？请不要无端陷害。再有，请问哪个平台充值是收费的？这样好意思拿出来说？你们平台年化那么低提现要是还收费的话那还要脸不？再说你们平台每月只是3次提现免费！请实事求是！不要误导看客！
你我贷下周会公布2014年年报，欢迎楼主前来围观。
赶紧去编你们的年报去吧！弄得好看点！
7、楼主提到你我贷红包的使用规则不好，这点我们会综合用户的意见进行改进，完全不存在忽悠，合理使用红包最高可以提升1%的收益。
如果不是忽悠为嘛你们到处宣传注册送100元现金，而不在后面备注上投1W元才能使用完！
8、最后需要说明的是，楼主不是一个人在“战斗”，请大家明辨！欢迎大家理性质疑！
呵呵，我这边再多人战斗，也比不上你们平台NB，一句解释权就可以赖掉5000元。你们赖掉我的奖励还不让我声讨下？另外，如果我的贴子给你们的用户带来惶恐，首先说明你们的平台并不能给予他们太多的安全感，其次责任也在于你们处理事件的消极态度。实际上他们该指责的是你们平台，而不是我。愤怒的方向错了，作为平台，你们应该合理引导下，而不是恬不知耻的拿来助威。
另外，我理性质疑了，你们拿出回应没？有本事拿出一张12月12日的搜狗快照来！半道偷偷改规则，简直不要脸！
最后，怎么不再来一句名人诗句呢？让我长长姿势啊~~~
真是给自己长脸啊，你我贷火了，这回你我贷技术要被老板诶叼了，微信居然推送诈骗消息，这尼玛吓人啊，话说你们技术这么牛逼能窥探用户隐私，这点小问题都解决不了？？？&&打自己嘴巴了！
:你我贷要是真给了这种人5000元，那真是长脸了 15:59&
:回复 kkll888 :继续跪添 20:32&
:回复 kkll888 :水军么，我觉得楼主说的挺实事求是的，另外如果一开始就能解决了，谁愿意花时间来专门开个贴来黑？ 15:35&
真是给自己长脸啊，你我贷火了，这回你我贷技术要被老板诶叼了，微信居然推送诈骗消息，这尼 ...
真特么苍天有眼举国同庆啊！！！！
我前几天提现，t+1到账没什么问题啊
我前几天提现，t+1到账没什么问题啊
你金额小。。。。。。。
我只是看看& && & 看看看看啊看看啊看
提示: 该帖被管理员或版主屏蔽
:你我贷不错个毛，赶快别推了，别害新人和不知道的，象我们知道你我贷的都心知肚明，接你我贷客服电话的时候就看得出，手机上面显示骚扰电话或者推销，还不是没业务客服闲的蛋痛，打电话求别人投资，雷的前兆！远离！越远越好！ 01:29&
:你我贷就是不厚道，早就听说了，公司里面的人也蛮横，我是不投了，上咸都跑了，更何况你我贷！ 10:08&
你我贷是不是得罪楼主这个羊毛党呀
你我贷是不是得罪楼主这个羊毛党呀
这缺德平台坑的何止我一人？你没看他们的微信都被攻击了
本帖最后由 momo2008 于
20:33 编辑
你我贷是不是得罪楼主这个羊毛党呀
毫无疑问，已经引起众怒了
:撸羊毛不成就诅咒平台投资人的账户被清零，果然够狠！ 00:41&
:回复 Peter2015 :呵呵，我要是鲁羊毛不成被清零我也认了，之前的贴子那缺德平台被我驳得有还嘴之力吗？有本事他丫找一张12月12日的搜狗快照来啊！！我辛辛苦苦帮他们推广，半途改规则清零我的奖励！赖我5000元小心招报应！！ 08:16&
:你为了你那5000块，还真是不择手段。你是想在之家发几篇黑文，人家就把5000给你了？真是贱无可贱，用心险恶，其心可诛 08:56&
7*24小时在线帮助
网贷咨询热线400 882 1802
盈灿集团：
版权所有：上海盈灿投资管理咨询有限公司 沪ICP备号-1 Copyright &
. All Rights Reserved.