漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-033535
漏洞标题：QQ多处登录提醒绕过(旧登录接口安全隐患)
相关厂商：腾讯
漏洞作者： liyang
提交时间：2013-08-07 18:45
修复时间：2013-08-08 09:44
公开时间：2013-08-08 09:44
漏洞类型：账户体系控制不严
危害等级：低
自评Rank：5
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-08-07： 细节已通知厂商并且等待厂商处理中
2013-08-08： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
利用两个手机可能让qq在两个地方同时登陆
详细说明：
我们知道新版的qq是可以同时手机和电脑在线的，这个设置默认是打开的。
但是我们手机或电脑在线的时候，如果使用了电脑或手机再次登录，我们会有提示的。比如电脑端会有弹框提示，安卓qq设置里面也有。
同时其他情况下两个qq都不能同时在线，比如两个安卓qq，两个电脑。另一个登录后会把上一个踢下线。
However，我偶然的发现，我的老诺基亚上的s60v2版本的qq竟然还有一个特异功能--安
卓qq在线话，使用这个手机登陆不会把安卓qq踢下线。反过来而是一样，我的诺基亚qq在线，使用安卓登录也不会有任何提示。
这样就造成了一个账号能在多处登录，而且没有提示。收发消息都不受影响。
应该是老版本和新版本的兼容的时候，部分逻辑关系没有弄清楚。估计其他类似的山寨机的qq也可以。
漏洞证明：
我是穷光蛋，到现在还用塞班，安卓qq是使用的模拟器运行的。
你们可以自己试试~~
修复方案：
这个洞在tsrc被忽略掉了，说不是安全漏洞，但是我认为这个是很严重的。
漏洞修复自己去吧~
版权声明：转载请注明来源 liyang@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-08-08 09:44
厂商回复：
非常感谢您的报告。这个问题我们经过评估，暂未发现可以对用户或者业务产生影响，故不作处理。如果您对于该结论有任何的疑问，欢迎反馈指正，我们会有专人跟进处理。
最新状态：
暂无