开yun体育网过错者可借助构造伪装为正当衔接的坏心央求-kaiyun体育官方网站云开全站入口 (中国)入口登录

从白宫幕僚到战地记者，即时通讯软件（IM）是无数要害东说念主群不可或缺的接头用具。不管是 WhatsApp、Telegram，照旧微信、QQ，它们依然成为当代社会的"数字血管"，承载着数十亿用户的外交、支付与办公等中枢业务，其安全性径直关系个东说念主躲闪、金融钞票，乃至国度安全。

事实上，对于 IM 的安全参谋早已伸开。2019 年 Project Zero 败露了 iMessage 中的 CVE-2019-8641 随意 [ 1 ] ，该随意是一个内存碎裂问题。iMessage 会自动解析音尘中的富媒体本体，过错者仅需发送坏心构造的文献，即可在无需用户交互的情况下杀青而已代码践诺，皆备规则筹谋 iPhone 拓荒。

DARKNAVY 将在本文中以微信为例，从 URL 解析、文献处理、网页看望等典型场景启航，系统梳理即时通讯客户端的要害过错面，理会攻防背后的博弈。

IM 过错面概览

从体系架构启航，即时通讯软件的过错面可诀别为三个主要维度，分别是客户端层面、通讯契约层面以及云表就业层面。本文将重心分析客户端的过错面，探讨其中可能导致而已代码践诺或明锐信息露出的安全问题。

1 URL 衔接

大批 IM 客户端量沿自界说契约（如   weixin://、tg://）以杀青应用内跳转，但是，过错者可借助构造伪装为正当衔接的坏心央求，欺诈客户端对 URL 校验不严的随意同样用户看望垂钓站点。更具粉饰性的是对一些非凡功能 URL 的花费。举例，slack://settings 不错杀青革新确立的功能，过错者通过构造特定参数的衔接并同样用户点击，不错杀青数据窃取 [ 2 ] 。

使用 weixin:// 契约掀开微信

2   文献解析

为栽培用户体验，IM 客户端频频集成自有文献解析逻辑以杀青体式预览与本体提真金不怕火。过错者可通过构造特制的坏心文献，欺诈解析功能的随意杀青而已代码践诺。举例，CVE-2019-11932 [ 3 ] 和 CVE-2025-30401 [ 4 ] 分别是 WhatsApp Android 客户端和 Windows 客户端中的严重随意，前者通过坏心 GIF 文献触发过错，后者则通过伪装成图像的可践诺文献同样用户践诺。

3 内置浏览器组件

大批 IM 客户端内置浏览器以相沿网页看望，频频选拔基于 Chrome 的自界说内核。其过错面主要聚合在两类时代旅途上：

一是 JSBridge，若客户端未对表示给网页接口进行玄虚化权限规则，则可能被坏心网页调用杀青权限花费；

二是浏览器内核随意，举例，DARKNAVY 团队于 2023 年发布的预警 [ 5 ] 中指出，源于 Chromium 内核中 libwebp 组件的随意 CVE-2023-41064 & 4863，影响包括微信、钉钉、QQ 在内的多个主流 IM 软件。

CVE-2023-41064 & 4863 随意影响 Windows 平台微信客户端

4   小技艺生态

为拓展就业范围，微信、钉钉等 IM 客户端纷繁敞开小技艺平台，赋予第三方开发者丰富的系统权限，如文献系统看望、传感器调用、API 接口使用等。但是，若客户端在权限处分或功能杀青上存在松驰，过错者可借助坏心小技艺实施过错。

微信过错面分析

DARKNAVY 团队对微信客户端的过错面进行了初要领研，底下将从多个维度先容微信客户端靠近的主要安全风险过甚布置机制。

1 微信 URL 衔接

微信客户端内置了调试衔接机制，当用户看望的 URL 中包含   debugxweb.qq.com   时，会凭证 URL 中的参数触发不同调试行动。举例，传入参数   show_webview_version   可在页面上展示刻下 WebView 内核的版块信息及关系建设。

show_webview_version 展示的版块信息

尽管该机制为调试带来便利，但若过错者构造坏心 URL 并同样用户看望，可能在无须户感知的情况下触发高风险操作，如版块回退或建设变更。为镌汰风险，微信客户端规则了   install_embed_plugin   等明锐操作仅可在开启   bEnableLocalDebug   选项后践诺。同期，对于如   set_config_url   等可修改得到建设 URL 的功能，微信也加入了严格的域名与契约校验，仅允许使用 HTTPS 且域名罢休为   dldir1.qq.com   或   dldir1v6.qq.com，灵验回避了建设被点窜的风险。

set_config_url 等功能的 URL 校验

此外，微信相沿   weixin://   契约杀青里面跳转，举例   weixin://dl/   用于页面导航。对于带   ticket   参数的衔接，微信客户端意见过   /cgi-bin/mmbiz-bin/translatelink   接口向云表央求确凿跳转地址，从而幸免过错者伪造衔接同样用户看望淘气页面，灵验增强了衔接跳转的安全性。

2   微信内置浏览器组件（XWEB）

安卓微信使用自研的 XWEB 内核，基于 Chromium 开发。截止本文剪辑时，内核开发版的 Chromium 版块是 134.0.6998.136，而现网版块是 130.0.6723.103，而 Chrome 官方浏览器的版块是 136.0.7103.93。XWEB 保执了相对进步的内核版块，不外仍存在一定的滞后性，有可能受未拓荒的公开随意影响。

为栽培浏览器安全性，微信默许启用了多程度沙箱机制。主程度开动在   xweb_privileged_process_0，而渲染程度则梗阻于   xweb_sandboxed_process_0，灵验缓解了对渲染程度随意的过错欺诈。

安卓微信客户端的程度梗阻

微信还提供了丰富的 JSBridge 接供词网页调用原生功能，举例   sendEmail   可唤起客户端发邮件、scanQRCode   可调用录像头扫描二维码。

使用 sendEmail 参加发邮件界面

为退守花费，微信客户端在加载网页时会凭证 URL 向云表央求权限列表，以玄虚化规则每个 JSBridge 接口是否可用。在某些特定官方测试页面上，大大批接口默许敞开，而在其他页面中，仅敞开少数接口。此种基于页面着手的权限诀别政策，灵验规则了潜在坏心网页的碎裂智商。

3 微信小技艺安全机制

微信小技艺选拔 JavaScript 开发，架构上分为渲染层与逻辑层，分别在寂寥线程中开动，互相梗阻。其中渲染层厚爱界面展示，而逻辑层处理业务逻辑。开发者编写的逻辑层的 JavaScript 剧本不成使用浏览器暴显现来的 DOM API，而渲染层的 JavaScript 剧本也无法使用开发者的高权限功能。微信客户端给渲染层和逻辑层表示的 JSAPI 功能也有所不同，举例渲染层不错调用 insertVideoPlayer、insertTextArea 等功能，而逻辑层不错调用 saveFile、addDownloadTask 等功能。这么的梗阻退守了过错者通过小技艺的 XSS 等随意在渲染层践诺高权限操作。

addToPagePool 添加渲染层的 JSAPI

渲染层不错使用的一些 JSAPI

结语

微信行动国内最具代表性的 IM 软件，在安全机制上体现出多层看守与权限细化处分的想象想路，如 JSBridge 玄虚授权、浏览器沙箱梗阻、小技艺双线程架构等，体现出其对安全风险的高度疼爱。

行动长期存眷即时通讯软件安全的参谋团队，DARKNAVY 始但愿通过执续的随意参谋、攻防分析与时代共享，鞭策 IM 生态在保险用户体验的同期，愈加矜重、安全、确切地上前发展。

预报

本参谋本体已入选专注纯正时代交流的全新网络安全闭门沙龙 deepsec.cc ( Deep Security   Closed-door   Conference ) ，将于 6 月 16 日在现场久了探讨。

参   考

[ 1 ]  https://googleprojectzero.blogspot.com/2020/01/remote-iphone-exploitation-part-3.html

[ 2 ]  https://medium.com/tenable-techblog/stealing-downloads-from-slack-users-be6829a55f63

[ 3 ]  https://awakened1712.github.io/hacking/hacking-whatsapp-gif-rce/

[ 4 ]  https://www.facebook.com/security/advisories/cve-2025-30401

[ 5 ]  https://mp.weixin.qq.com/s/zqxkYk7vRvDPKxgoVj1PRw开yun体育网