WooYun.org

我擦，重复了2张图片。。。。。。伤不起

@zeracker 编辑下，看不懂

........ 仔细看了下 觉得是打酱油了

@xsser 剑总，我愧对于你了。

@风萧萧 怎么讲

@风萧萧 干坏事了？

@xsser 好吧，应该听lake2的直接扔TSRC，我只想说这玩意影响到我自己了

嘿嘿，客户端还有个好东西。只是加密方式还没看出来。

@zeracker 哥，你在TSRC搜获的多还是乌云，你在TSRC结识的基友多还是乌云！乌云是娘家，常回来发发洞啊！

@zeracker lake2用ipad诱惑你了么

@zeracker 麻烦下次要么直接发TSRC.要么就别挂着PKAV的名字在乌云发这样的内容.

@zeracker 蛋定，要经得起诱惑~

好吧。 封号，WB全捐公益

@zeracker 我是公益，捐给我啊，魂蛋！！！

信仰和ipad是难选啊!哈哈

@shine 难选么?PKAV的人从来都不犹豫

@only_guest 别乱扣帽子

看了这个漏洞，觉得301犯不着这么长的问题描述吧。。。

@zeracker 至少我们做的很好.意见不统一罢了.

@only_guest ： ） 我只看态度。

@zeracker 别怒啊... 真的是漏洞看法的不一致 这个你认为应该如何修复啊

@zeracker @zeracker @xsser 好好沟通，不要说气话，各位大哥，不是一个人能撑起这个平台，不是一个人牛逼就行了，靠大家，白菜路过

懒婆娘的裹脚布，又长又臭。1.查看QQ漫游聊天记录时设置QQ服务独立密码没有二次验证。2.QQ默认开启了漫游聊天记录功能，待验证。（其实我们的聊天记录都被记录了）3.可导致当QQ被盗，而未设置QQ服务独立密码的情况下，盗QQ者可以远程查看一定时间内的QQ聊天记录，其中可能包括各类隐私信息、身份信息，可为QQ诈骗提供了有利素材。建议腾讯开启二次验证，但不要使用QQ密码作为验证。PS，其实腾讯已经考虑到了，设置独立密码时不允许使用当前QQ使用的密码。

两点，1 301犯不着因为无聊或者干嘛花费那么长时间来的描述这个问题所在的严重性质。2 QQ诈骗这种事情不少见，301这么描述也是为了大家能提防下这点，剑心 过客跟301的想法可能不一致，所有导致301要走人。 不管是TSRC也好还是乌云也好，如果你心里认为你是搞技术的，那么这个问题就很严重的，相反，亲，还是走人吧。娱乐圈不好混个人认为301提交的这个很严重。。出来混迟早要还的，早晚有一天会出现在你们身上或者你们周围，到时候你们就知道这问题的严重性了

我敢赌1个乌云币，腾讯未来肯定会修复这个漏洞·······

@陈再胜 我赌2个乌云币，要是腾讯不修复这个漏洞 我让老西把红黑给关掉

@腾讯 这确实属于很严重的安全缺陷 作为用户量如此大的IM聊天软件 你们有责任避免任何可能威胁使用者利益的问题或缺陷 你们所说的“暂未发现可以对用户或者业务产生影响” 对你们业务确实无影响 但这可能威胁用户的利益 应该先从用户的角度出发吧？ 真心觉得@zeracker 挺冤

话说，这个BUG其实影响很大的，我在10月发现的，我在乌云发布，被剑心忽略，10月28号我把BUG在自己的博客公布了 地址http://www.zhuhongliu.cn/?post=43

这个BUG绝对的影响很大的，特别针对女朋友管得严的，这个BUG 被搞IT的妹子了解之后，对于本来就猥琐的男男来说，简直就是一个很凶残的事情！！！腾讯做事情怎么这样？那么PC客户端的密码验证有何意义？

遇到了，确实能发生像301描述的严重情况~但是影响的群体与庞大的用户基数比起来就小的太多了~虽然这样~作为全球用户量no.1的IM来说~确实应该引起重视~~

@小猪太子 顺便解释下哈，PKAV写的是一些没有设置过漫游密码的，对于我的那个，是你已经设置过漫游密码了，但是只要有QQ密码，不需要密码保护等直接绕过漫游密码验证的，抱歉，刚没仔细看内容对于 PKAV 的这个，个人觉得无法修补，除非重新设计整个用户习惯操作方式……

这个问题我是这样理解的，这样的设计肯定是不妥当的，但是还没有上升到能直接利用的漏洞的层面。还停留在可能存在风险的层面。TX忽略了确实不妥。

@xsjswt 我觉得提交者定位风险等级为高 也有点问题...

@xsser 着眼点不一样罢了，作者认为涉及到个人隐私信息就是大问题，自评高危也无可厚非~~

@se55i0n @xsser 是的。对于个人的特定情况来说，这个很可能是一个大问题。但是对于一个企业来说，问题还不算很严重。没有听说过亏几十W就垮掉的企业，但是没有听说过被骗了几W软妹币还心理很淡定的屌丝。

类似的问题我也碰到过，我个人评估安全风险是中，被管理员改为低，最后还被忽略了，但随后给出的实际案例，足以评为高。所以，肯定要看到实际案例及可利用成本的，当然还让厂商觉得这不会是个例。

@xsser 帮忙查下，我没通过的那个BUG，就是无密码可以绕过QQ漫游密码验证的。我测试过很多次，也有很多人都测试了。如果你觉得我的那一点不对，麻烦加下我Q57-93-094 谢谢

@小猪太子 漏洞id多少?

@iceyes 奇怪了，在我的测试中，漫游消息功能只有会员才能开通，非会员无论怎么测都不行，界面会一直提示“只需5秒点击，3步操作，就可以拥有1辈子的回忆已有千万QQ会员使用消息记录漫游，赶快加入吧”。所以理解不了“非会员可造成泄露所有好友1周聊天记录”的说法...

@xsser 我今天重新提交一次吧

@小猪太子 客观点 详细点 嗯 ：）

@xsser 搞定了

腾讯你妈逼，为对你们业务造成影响，草泥马的，那用户呢？ 难道没有对用户造成影响么。@腾讯