漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-06378
漏洞标题：腾讯QQ钓鱼,qq空间允许帧嵌套
相关厂商：腾讯
漏洞作者： 蟋蟀哥哥
提交时间：2012-04-25 15:01
修复时间：2012-06-09 15:02
公开时间：2012-06-09 15:02
漏洞类型：钓鱼欺诈信息
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-04-25： 细节已通知厂商并且等待厂商处理中
2012-04-26： 厂商已经确认，细节仅向厂商公开
2012-05-06： 细节向核心白帽子及相关领域专家公开
2012-05-16： 细节向普通白帽子公开
2012-05-26： 细节向实习白帽子公开
2012-06-09： 细节向公众公开
简要描述：
差点就被钓鱼了
详细说明：
差点就被钓鱼了。。
漏洞证明：
首先是有人在qq群里欺骗点击:
链接是这样的：http://gz.ddmap.com/mstmap50007/g_adv_loc.jsp;^?cname=123&&curl=http://2651055qq.in/c10
由于腾讯判断gz.ddmap.com为合法域名,所以可以直接点击.
点击之后由于gz.ddmap.com的301重定向被重定向到钓鱼页面(gz.ddmap.com这个站的其他漏洞等会放出)
从上面可以看到，乍一看是腾讯qq。如果是已经等了腾讯的话，toolsbar上还会显示你的qq用户名。这点很容易上当.我也是仔细看了之后，再分析源码才知道如何做到的
如果是没有登陆的情况下，就可以欺骗登陆了：
某些浏览器(比如我用的firefox)是不会有登陆提示的.
修复方案：
禁止页面被放进IFRAME嵌套,特别是有toolsbar的地方.
版权声明：转载请注明来源 蟋蟀哥哥@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：4
确认时间：2012-04-26 11:03
厂商回复：
多谢提醒，我们正在关注相关问题
最新状态：
暂无