外链论坛

 找回密码
 立即注册
搜索
查看: 18|回复: 1

Windows 版 WhatsApp 准许 Python、PHP 脚本在无任何提示下执行

[复制链接]

2952

主题

330

回帖

9919万

积分

论坛元老

Rank: 8Rank: 8

积分
99199392
发表于 2024-10-4 12:44:19 | 显示全部楼层 |阅读模式

WhatsApp for Windows 最新版本中存在一个安全问题,准许发送 Python 和 PHP 附件,当收件人打开这些附件时,这些附件会在任何警告的状况下执行。要成功攻击,需要安装 Python,这一先决要求可能会将目的限制在软件研发人员、科研人员和高级用户。

该问题与 4 月份影响 Windows 版 Telegram 的问题类似,该问题最初被拒绝但后来得到修复,攻击者能够经过信息传递客户端发送 Python .pyzw 文件时绕过安全警告并执行远程代码执行。

WhatsApp 屏蔽了多种被认为对用户有危害的文件类型,但该机构不打算将 Python 脚本添加到列表中且PHP 文件 (.php) 包括在 WhatsApp 的阻止列表中。

Python、PHP 脚本未被阻止

安全科研员 Saumyajeet Das 在实验能够附加到 WhatsApp 对话中的文件类型时发掘了此漏洞,以查看该应用程序是不是准许任何有危害的文件。当发送潜在危险的文件(例如 .EXE)时,WhatsApp 会表示该文件并为收件人供给两个选项:打开或另存为。

WhatsApp 的可执行文件选项

然则,当尝试打开文件时,WhatsApp for Windows 会生成错误,用户只能选取将文件保留到磁盘并从那里起步它。在测试中,运用 WhatsApp for Windows 客户端时,此行径与 .EXE、.COM、.SCR、.BAT 和 Perl 文件类型一致。Das 发掘 WhatsApp 还会阻止 .DLL、.HTA 和 VBS 的执行。

针对所有这些程序,当尝试经过单击“打开”直接从应用程序起步它们时,都会出现错误,仅有保留到磁盘后才可执行它们。

从 WhatsApp 客户端起步 .EXE 失败

Das 在接受采访时暗示,他发掘 WhatsApp 客户端不会阻止三种文件类型起步:.PYZ(Python ZIP 应用程序)、.PYZW(PyInstaller 程序)和 .EVTX(Windows 事件日志文件)。

测试证实,WhatsApp 不会阻止 Python 文件的执行,并发掘 PHP 脚本出现一样状况

倘若所有资源都存在,接收者只需单击接收文件上的“打开”按钮,脚本就会执行。

Das 于 6 月 3 日向 Meta 报告了该问题,该机构于 7 月 15 日回复叫作,另一位科研人员已然报告了该问题。日前。该漏洞仍然存在于适用于 Windows 的最新 WhatsApp 版本中,咱们能够在 Windows 11 v2.2428.10.0 上对此多加重视

关联媒介企图联系 WhatsApp,以澄清驳回科研人员报告的原由,一位发言人解释说,她们不认为这是她们的问题,因此呢修复计划。

机构表率解释说,WhatsApp 有一个系统,当用户收到不在其联系人列表中的用户或tel号码在其他国家/地区注册的用户发送的信息时,会发出警告。然而,倘若用户的帐户被劫持,攻击者能够向联系人列表中的每一个人发送恶意脚本,这些脚本更易直接从信息应用程序中执行。

另外,这些类型的附件可能会发布到公共和私人聊天组中,威胁者可能会乱用这些聊天组来传播恶意文件。在回复 WhatsApp 拒绝该报告时,Das 对该项目处理这种状况的方式暗示失望。

其实只需将 .pyz 和 .pyzw 扩展名添加到阻止列表中,Meta 便能够阻止经过这些 Pythonic zip 文件进行的潜在攻击。经过处理该问题,WhatsApp 不仅能够加强其用户的安全性,还能够显示她们致力于快速处理安全问题的良好态度。

相关媒介联系了 WhatsApp,提醒她们 PHP 扩展被阻止,但日前尚未收到其回复。

回复

使用道具 举报

2940

主题

2万

回帖

9910万

积分

论坛元老

Rank: 8Rank: 8

积分
99109403
发表于 2024-10-19 17:40:28 | 显示全部楼层
“板凳”(第三个回帖的人)‌
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

站点统计|Archiver|手机版|小黑屋|外链论坛 ( 非经营性网站 )|网站地图

GMT+8, 2024-11-9 03:39 , Processed in 0.063018 second(s), 19 queries .

Powered by Discuz! X3.4

Copyright © 2001-2023, Tencent Cloud.