漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-05452
漏洞标题：腾讯QQ无限次验证单个密保，
相关厂商：腾讯
漏洞作者： Pentos
提交时间：2012-03-22 00:25
修复时间：2012-05-06 00:26
公开时间：2012-05-06 00:26
漏洞类型：网络设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-03-22： 细节已通知厂商并且等待厂商处理中
2012-03-22： 厂商已经确认，细节仅向厂商公开
2012-04-01： 细节向核心白帽子及相关领域专家公开
2012-04-11： 细节向普通白帽子公开
2012-04-21： 细节向实习白帽子公开
2012-05-06： 细节向公众公开
简要描述：
腾讯QQ无限次验证单个问题，而且无限次只验证那一个密保是否正确，适合社工流~~~~
详细说明：
设置一个QQ通讯录的密码，然后aq.qq.com进行独立密码找回通讯录密码，不管是否异地登陆，都是一个问题。而且更夸张的是，验证的时候填写一个回答后，直接回车返回来的都是递交的那个答案，实现无限次验证。写个自动POST（测试过一小下，但是是我自己的账号哈）+适当社工，那就爽歪歪啦。。。。。
漏洞证明：
修复方案：
增加异地验证限制
附：之前的那个QQ聊天记录验证密保的你们可是给了20个rank啊~~求rank，求企鹅:P
版权声明：转载请注明来源 Pentos@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2012-03-22 11:57
厂商回复：
感谢您的反馈。
我们已核实您所反馈的问题。确认在该场景下的频率限制设计略显宽松，有小部分用户可能会遇到该情况。
我们会综合考虑用户帐号安全运营的数据标准与体验，调整为更合适的频率，该调整会在今日完成。
最新状态：
暂无