收藏
评论

安全课堂|关于小程序session_key泄露漏洞官方

为进一步提升小程序的安全性和用户体验,目前平台对提审的小程序均需进行安全检测,在检测过程中发现仍有许多小程序存在安全漏洞,其中涉及session_key泄露漏洞,希望通过以下相关的漏洞介绍、案例分析和修复建议,开发者能更加了解如何对该漏洞进行防御。

一、漏洞介绍

为了保证数据安全,微信会对用户数据进行加密传输处理,所以小程序在获取微信侧提供的用户数据(如手机号)时,就需要进行相应的解密,这就会涉及到session_key,具体流程可参考开放数据校验与解密开发文档。

session_key指的是会话密钥,可以简单理解为微信开放数据AES加密的密钥,它是微信服务器给开发者服务器颁发的身份凭证,这个数据正常来说是不能通过任何方式泄露出去的。小程序若存在session_key泄露漏洞的情况,则代表微信侧传递的用户数据有被泄露、篡改等风险,开发者应及时发现该漏洞并快速修复相应问题。

二、漏洞案例

某小程序因为session_key泄露,导致该小程序可以使用任意手机号进行登录,造成了极大的安全风险。

我们可以很明显地看到,下列请求中的session_key已经被泄露:

通过获取该session_key,我们可以结合iv解密出密文:

只需如下脚本即可进行解密,所以攻击者也可利用同样的信息去篡改用户数据,然后加密后返回给服务器,从而达到使用任意手机号进行登录的目的。

三、漏洞修复

通过上述案例,我们了解到session_key泄露会对小程序造成的危害,而导致session_key泄露的原因则可能有以下两种:

1.通过auth.code2Session接口获取用户openid时,返回小程序的数据中包含了session_key字段,以泄露的url:/api/get_openid.php?code=xxxx为例,具体的表现如下图所示:



查看后端get_openid.php的源码,经排查发现$response 变量包含了session_key字段,开发者应去掉变量中的session_key字段,若需获取openid,应只提取该字段返回小程序即可。



2.在解密开放数据时,使用了错误的方式,以获取手机号接口为例,通过事件回调获取微信服务器返回的加密数据(encryptedData和iv)后,将服务端中的session_key传送至小程序前端,直接在前端进行解密:

这种方式是绝对不可取的,正确的流程应该是将加密数据(encryptedData和iv)传至服务端后,结合服务端中的session_key进行解密获取手机号,然后返回给小程序。另外,目前平台已对获取手机号接口进行了安全升级,建议开发者使用新版本,以增强小程序的安全性。

若小程序存在相应的session_key泄露漏洞问题,请开发者尽快自查并修复漏洞:

请尽快在网络请求中,去除请求和响应中的session_key字段及其对应值,后续也不应该将session_key传到小程序客户端等服务器外的环境,以便消除风险。


其他常见问题

Q1: 如何进行相应的修复,是需要把session_key字段更换个名字就可以了吗?

A1: 不是,更换字段名无法从根本上消除风险,session_key这个字段及对应值不应该传到小程序客户端等服务器外的环境,需去除请求和响应中的所有相关信息,才可对该漏洞问题进行修复。

Q2: 解密开放数据的正确方式是什么?

A2: 以获取手机号接口为例,通过事件回调获取微信服务器返回的加密数据(encryptedData和iv),将加密数据传至服务端后,结合服务端中的session_key进行解密获取手机号,然后返回给小程序。而不应将服务端中的session_key传送至小程序前端,直接在前端进行解密。


相关文章

安全课堂|关于小程序AppSecret密钥泄露漏洞

安全课堂|关于小程序云AK/SK泄露漏洞


如有其他相关疑问,欢迎随时参与官方社区讨论。


209779浏览
最后一次编辑于  2022-09-09
收藏

53 个评论

  • 城市猎人
    城市猎人
    2022-08-11

    其实都不应该返回session_key这个参数,用户拿来也没用。何必又出现

    2022-08-11
    赞同
    回复 1
  • 77
    77
    发表于移动端
    2022-08-03
    请问收到这条信息,我要做什么?
    2022-08-03
    赞同
    回复 1
    • 社区运营专员-wetingtu
      社区运营专员-wetingtu
      2022-08-03
      你好,收到说明对应的小程序存在该漏洞问题,请根据本文指引尽快进行修复
      2022-08-03
      回复
  • wst
    wst
    2022-07-26

    小程序端用了session_key,没有收到推送。。。。。

    2022-07-26
    赞同
    回复 1
    • 社区运营专员-wetingtu
      社区运营专员-wetingtu
      2022-07-26
      你好,若自查发现存在,也是需要进行修复的哈
      2022-07-26
      回复
  • 阡陌
    阡陌
    发表于移动端
    2022-07-12
    看不懂
    2022-07-12
    赞同
    回复
  • 韩广霞
    韩广霞
    2022-07-04

    平台您好!平时没有用到小程序呀!不知道为什么出现漏洞。接下来我们还想开展小程序的功能呢!怎么办?

    2022-07-04
    赞同
    回复 1
    • 社区运营专员-wetingtu
      社区运营专员-wetingtu
      2022-07-04
      你好,应联系对应开发人员,根据本文修复指引进行处理哈
      2022-07-04
      回复
  • 老蔡-精金百炼,厚德载物
    老蔡-精金百炼,厚德载物
    发表于移动端
    2022-06-30
    我修复了,不会对我线上运行的小程序有影响吧,现在只返回一个OPID给小程序,其他都不返回
    2022-06-30
    赞同
    回复
  • GG
    GG
    2022-06-30

    意思是后端要自己处理完sessionKey再返回给小程序吧?

    2022-06-30
    赞同
    回复 3
    • GG
      GG
      2022-06-30
      本来确实是小程序处理这个字段,问题也不是很大,排好班一两天内就能解决
      2022-06-30
      1
      回复
    • GG
      GG
      2022-06-30
      就是code换openid sessionkey的那个接口,我这后端命名是 /weChat/wxapi
      2022-06-30
      回复
    • 社区运营专员-wetingtu
      社区运营专员-wetingtu
      2022-06-30回复GG
      推送消息中有提供具体的url,可以根据这个进行排查,按照文中指引进行修复即可
      2022-06-30
      回复
  • 😉
    😉
    2022-06-26

    推送session_key 哪位大神方便告诉怎么处理,联系后台吗? 改了影响使用吗 不改影响资金丢失吗 各位大神 知道的麻烦说下 谢谢

    2022-06-26
    赞同
    回复 1
    • 社区运营专员-wetingtu
      社区运营专员-wetingtu
      2022-06-27
      你好,请根据文章中的修复指引进行处理,小程序若存在session_key泄露漏洞的情况,则代表微信侧传递的用户数据有被泄露、篡改等风险,开发者应及时发现该漏洞并快速修复相应问题。
      2022-06-27
      回复
  • united7
    united7
    发表于移动端
    2022-06-26
    坑越来越多,越填越深
    2022-06-26
    赞同
    回复
  • EasyHan
    EasyHan
    2022-06-21

    @安全中心社区运营-Weting 因三方平台涉及小程序版本多不好统一处理,后端返回的Session_key字段名称不改,我们把对应的值按我们的方式加密处理一次,这样符合要求吗?还会不会被警告?

    2022-06-21
    赞同
    回复 2

正在加载...

登录 后发表内容