当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2012-06378

漏洞标题:腾讯QQ钓鱼,qq空间允许帧嵌套

相关厂商:腾讯

漏洞作者: 蟋蟀哥哥

提交时间:2012-04-25 15:01

修复时间:2012-06-09 15:02

公开时间:2012-06-09 15:02

漏洞类型:钓鱼欺诈信息

危害等级:中

自评Rank:10

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2012-04-25: 细节已通知厂商并且等待厂商处理中
2012-04-26: 厂商已经确认,细节仅向厂商公开
2012-05-06: 细节向核心白帽子及相关领域专家公开
2012-05-16: 细节向普通白帽子公开
2012-05-26: 细节向实习白帽子公开
2012-06-09: 细节向公众公开

简要描述:

差点就被钓鱼了

详细说明:

差点就被钓鱼了。。

漏洞证明:

首先是有人在qq群里欺骗点击:


链接是这样的:http://gz.ddmap.com/mstmap50007/g_adv_loc.jsp;^?cname=123&&curl=http://2651055qq.in/c10
由于腾讯判断gz.ddmap.com为合法域名,所以可以直接点击.
点击之后由于gz.ddmap.com的301重定向被重定向到钓鱼页面(gz.ddmap.com这个站的其他漏洞等会放出)


从上面可以看到,乍一看是腾讯qq。如果是已经等了腾讯的话,toolsbar上还会显示你的qq用户名。这点很容易上当.我也是仔细看了之后,再分析源码才知道如何做到的
如果是没有登陆的情况下,就可以欺骗登陆了:



某些浏览器(比如我用的firefox)是不会有登陆提示的.

修复方案:

禁止页面被放进IFRAME嵌套,特别是有toolsbar的地方.

版权声明:转载请注明来源 蟋蟀哥哥@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:4

确认时间:2012-04-26 11:03

厂商回复:

多谢提醒,我们正在关注相关问题

最新状态:

暂无