微信会将密码暴露给攻击者

　　安全研究人员分析了腾讯的移动通信工具微信，发现了多个安全漏洞。利用这些漏洞，攻击者可以获取用户的密码。研究人员两次联系了腾讯，但都没有得到回应。他们所分析的版本不是最新版的微信 5.0，而是 4.5.1。

　　在对抓取的网络流量进行分析之后，研究人员发现，微信不是使用标准的 HTTP/HTTPS 会话，而是自己实现了一种定制的通信协议，主要是通过 TCP 端口 8080 传输信息。他们此前发现 4.3.5 版本存在多个安全漏洞，允许攻击者拦截流量快速解密消息体，然后访问用户发送和接受的信息，但较新的版本已经堵上了漏洞。他们进一步的分析显示，微信读取调试设置的方式存在问题，可以配备将日志发送到远程服务器，日志包含了 MD5 格式的用户密码，很容易破解。微信的本地数据库使用了 SQLite 的加密扩展 SQLCipher 加密，密钥生成算法将密码截断成 7 个 16 进制字符，暴力破解也不难。