当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2011-03445

漏洞标题:利用QQ空间钓鱼,腾讯URL审核不严(严重影响被钓鱼用户身心)

相关厂商:腾讯

漏洞作者: 禽兽大叔

提交时间:2011-11-28 05:40

修复时间:2011-12-28 05:40

公开时间:2011-12-28 05:40

漏洞类型:钓鱼欺诈信息

危害等级:低

自评Rank:5

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2011-11-28: 细节已通知厂商并且等待厂商处理中
2011-11-28: 厂商已经确认,细节仅向厂商公开
2011-12-08: 细节向核心白帽子及相关领域专家公开
2011-12-18: 细节向普通白帽子公开
2011-12-28: 细节向实习白帽子公开
2011-12-28: 细节向公众公开

简要描述:

钓鱼者利用QQ空间伪造异常信息诱导普通QQ用户上当被盗

详细说明:

随便找了个哥们的鱼战抱歉啊 - -!
实例:http://user.qzone.qq.com/stevrce
大家可以看到这个伪造的QQ安全中心,如图:


这个蓝色框框的跳转并不是首页的图文模块,而是QQ空间的日志,我们查看日志如图:


我们查看一下绿框的跳转链接如图:

漏洞证明:

实例:http://user.qzone.qq.com/stevrce
跳转:http://sns.qzone.qq.com/cgi-bin/qzshare/cgi_qzshare_urlcheck?appid=15&url=http%3A%2F%2Fv2.tudou.com%2Ftdap%2FadCPTClickServlet%3Fjuid%3Dbnp039of6u8%26userId%3D0%26adPositionId%3D41010041%26throwId%3D9093%26ownerId%3D0%26orderNum%3D0%26link%3Dhttp%253A%252F%252Furl.cn%2F4UbsC8

修复方案:

为什么QQ空间没有拦截呢,为什么呢?
站在资深钓鱼专家的角度说几句:
1.利用QQ空间钓鱼是我发明的(谁敢和我抢?虽然我从良了,警察叔叔别抓我)
2.QQ空间URL跳转审核不要有白名单,因为你的白名单会让你的QQ用户变成钓鱼者的白名单
3.所有从QQ空间跳转出去的连接全部使用大红X 提醒QQ用户,访问的不是QQ安全中心,请勿输入账号密码和资料,切忌 字体一定要大,应为笨蛋太多了.
4.不说了,早上5点了,该睡觉了 - -!

版权声明:转载请注明来源 禽兽大叔@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:5

确认时间:2011-11-28 09:58

厂商回复:

非常感谢你的反馈

最新状态:

暂无