漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-05283
漏洞标题：QQ辅助好友申述被滥用可导致指定用户QQ被盗（无需知道用户密码）
相关厂商：腾讯
漏洞作者： 路人甲
提交时间：2012-03-15 18:08
修复时间：2012-04-29 18:09
公开时间：2012-04-29 18:09
漏洞类型：账户体系控制不严
危害等级：中
自评Rank：8
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-03-15： 细节已通知厂商并且等待厂商处理中
2012-03-15： 厂商已经确认，细节仅向厂商公开
2012-03-25： 细节向核心白帽子及相关领域专家公开
2012-04-04： 细节向普通白帽子公开
2012-04-14： 细节向实习白帽子公开
2012-04-29： 细节向公众公开
简要描述：
QQ辅助好友申述被滥用可导致指定用户QQ被盗，黑客甚至无需知道该用户的密码。相关的详细信息在：http://www.91ri.org/2939.html
要注意的是，好友申述中需要利用的“好友”不一定需要通过好友克隆进行，还有其它途径获取。
详细说明：
方法一（即链接中描述的方法）：
（1）黑客用帐号A加受害者QQ号，受害者通过了；
（2）黑客通过克隆帐号A，到几个小号（B/C/D/E..），这几个小号因为克隆的关系会向受害者QQ发送为好友的请求，好友通过；
（3）黑客此时去申述受害者QQ号，证据为这几个QQ（A/B/C/D/E...）都是受害者QQ号的好友，此时得到申述回执。
（4）黑客轮番使用这几个QQ（A/B/C/D/E...）打开辅助好友申述页，填写申述回执和相关信息，并提交
（5）过几个小时后，申述成功。
此方法适合批量。
方法二：
（1）黑客通过社工，将受害者QQ号的好友列表获取出来。最简单的方法是引诱受害者QQ号码批量转发嵌套了N多层的邮件，这些邮件转发后天然含有该QQ号的好友列表。
（2）黑客利用这些好友列表，获取能够临时会话的受害者QQ的好友用户，开始进行初步社工。
（3）黑客此时去申述受害者QQ号，证据中加入以上正在社工的好友，此时得到申述回执。
（4）黑客继续社工，引诱受害者QQ的好友自愿填写申述回执和相关信息，并提交
（5）过几个小时后，申述成功。
此方法不适合批量，但更难防御，因为你可以拒绝他人加你为好友，但难以拒绝他人社工你好友。
漏洞证明：
修复方案：
我也想知道......看某人回答也是个老大难问题：http://weibo.com/2006464163/ya0qfm8Sn
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：9
确认时间：2012-03-15 20:00
厂商回复：
thx
最新状态：
暂无