当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2011-03521

漏洞标题:腾讯QQ空间给力的2012年初最给力的XSS

相关厂商:腾讯

漏洞作者: shellcode

提交时间:2011-12-04 02:31

修复时间:2012-01-03 02:32

公开时间:2012-01-03 02:32

漏洞类型:xss跨站脚本攻击

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2011-12-04: 细节已通知厂商并且等待厂商处理中
2011-12-05: 厂商已经确认,细节仅向厂商公开
2011-12-15: 细节向核心白帽子及相关领域专家公开
2011-12-25: 细节向普通白帽子公开
2012-01-04: 细节向实习白帽子公开
2012-01-03: 细节向公众公开

简要描述:

腾讯QQ空间给力的2012年初最给力的XSS 今天本人提交个腾讯的XSS了一直在线等你们审核等个邀请码 今天提交的http://www.wooyun.org/bugs/wooyun-2010-03514/trace/6c552f64e8658042719893678dc3cdbb 等到现在没有消息 所以继续弹窗 又弹出了个给力点的 加上这个提交就是两个了 希望管理员给个邀请码 管理员 如果我今天提交的这两个都通过 请给我发一个注册码就可以了 注册后加点RANK 呵呵 谢谢 shellcodetool@gmail.com

详细说明:

打开QQ空间---装扮---高级设置---增减模块---自定义模块---新建模块---增加大图模块---在图片地址那里写上我们那可爱的XSS句子 比如 javascript:alert(Shelldoe')
即可弹出我们那可爱的窗口 大家自己发挥 持久XSS 以后打开我们的空间会每次弹

漏洞证明:

http://user.qzone.qq.com/540846218/main

修复方案:

共同交流 共同进步 打造国内安全干净的网络空间

版权声明:转载请注明来源 shellcode@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2011-12-05 08:55

厂商回复:

感谢反馈

最新状态:

暂无


漏洞评价:

评论

  1. 2011-12-04 11:28 | piaoye ( 普通白帽子 | Rank:343 漏洞数:53 | ww)

    至少来两张图吧。。

  2. 2011-12-04 11:32 | 80sec ( 普通白帽子 | Rank:115 漏洞数:5 | 不要停止我的音乐)

    =。= 楼上我等你“问题很多,这个就先换个wooyun邀请码吧,稍后发布此商致命0day” 这个啊 还记得么?

  3. 2011-12-04 11:56 | piaoye ( 普通白帽子 | Rank:343 漏洞数:53 | ww)

    记得的,厂商发了礼品,就算和谐不能发了。

  4. 2011-12-04 12:08 | 80sec ( 普通白帽子 | Rank:115 漏洞数:5 | 不要停止我的音乐)

    鄙视!

  5. 2011-12-04 12:13 | piaoye ( 普通白帽子 | Rank:343 漏洞数:53 | ww)

    ╮(╯▽╰)╭ 让大牛鄙视了。。也跟越权相关。

  6. 2011-12-04 12:15 | 80sec ( 普通白帽子 | Rank:115 漏洞数:5 | 不要停止我的音乐)

    补提一个吧 都补了 也给其他的支付厂商提个醒

  7. 2011-12-04 15:06 | shellcode ( 实习白帽子 | Rank:38 漏洞数:9 )

    昨晚最后一个发了过程 乌云显示不了 应该算是个腾讯小小的0DAY 利用危害很大 希望腾讯的安全人员们尽快修复 关联到腾讯的其他产品 先公布这个 哈哈 其他的玩腻了在丢上来