漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-087073
漏洞标题：腾讯QQ升级漏洞（2009-2014通杀），可被中间人攻击利用植入木马
相关厂商：腾讯
漏洞作者： 内谁
提交时间：2014-12-14 02:01
修复时间：2015-03-14 02:02
公开时间：2015-03-14 02:02
漏洞类型：非授权访问/认证绕过
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-12-14： 细节已通知厂商并且等待厂商处理中
2014-12-15： 厂商已经确认，细节仅向厂商公开
2014-12-18： 细节向第三方安全合作伙伴开放
2015-02-08： 细节向核心白帽子及相关领域专家公开
2015-02-18： 细节向普通白帽子公开
2015-02-28： 细节向实习白帽子公开
2015-03-14： 细节向公众公开
简要描述：
QQ2009-2014通杀（包括最新的6.7），升级过程可被中间人攻击利用，可使得获得更新程序的机器被植入任意EXE文件。
详细说明：
QQ在登录成功后10分钟左右，会主动向服务器POST投递某个模块要求更新，URL如下：
http://updatecenter.qq.com/queryselfupdate
回应包为一个包含特殊文件头的xml文档，该文档描述了要更新的url地址（zip压缩包），hash值，以及size。
这个回应包的前两个字节表示了文件头的大小，去除文件头后，就是标准的xml文档
攻击者如果劫持了这个TCP会话，并伪造xml文档，插入TCP会话，可以造成任意exe文件被下载并执行的后果。
QQ没有对此文件进行任何校验，仅仅通过xml的描述来校验是否合法，未对exe文件本身进行数字签名校验等措施。
漏洞证明：
抓包及插入TCP会话后截图
伪造的xml文档：
在这个xml文档中，url字段表示zip包的下载地址（必须为zip包，包中需要有名为txupd.exe的文件），MD5字段为hash值，size字段为大小（字节）
符合上述条件，下载后自动解包，自动运行，想怎么玩就怎么玩……
修复方案：
校验zip包内的文件，校验数字签名
版权声明：转载请注明来源 内谁@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2014-12-15 14:38
厂商回复：
非常感谢您的报告。这个问题我们已经确认，正在与业务部门进行沟通制定解决方案，如有任何新的进展我们将会及时同步。
最新状态：
暂无