漏洞概要
关注数(24)
关注此漏洞
漏洞标题：百度网盘“离线下载下”下载腾讯软件后误报！
相关厂商：百度
提交时间：2012-06-08 18:15
修复时间：2012-07-23 18:15
公开时间：2012-07-23 18:15
漏洞类型：内容安全
危害等级：低
自评Rank：5
漏洞状态：厂商已经确认
Tags标签：
无
漏洞详情
披露状态：
2012-06-08： 细节已通知厂商并且等待厂商处理中
2012-06-11： 厂商已经确认，细节仅向厂商公开
2012-06-21： 细节向核心白帽子及相关领域专家公开
2012-07-01： 细节向普通白帽子公开
2012-07-11： 细节向实习白帽子公开
2012-07-23： 细节向公众公开
简要描述：
用百度网盘离线下载腾讯官方软件后（比如QQ,QQ音乐），软件不能运行！会被360误报为木马！
详细说明：
用百度网盘离线下载腾讯官方软件后（比如QQ,QQ音乐），软件不能运行！会被360误报为木马！
下载到网盘后:
下载到电脑后：
漏洞证明：
修复方案：
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：2
确认时间：2012-06-11 12:02
厂商回复：
感谢提交，我们正在检查bug
最新状态：
暂无
漏洞评价：
评论
-
试了一下，从官网下的和从百度网盘离线下载的QQ,它们的MD5值还真不一样。
-
2012-06-08 18:32 |
xsser 
( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)
@ 你不怕被和谐？
-
2012-06-08 18:45 |
imlonghao ( 普通白帽子 | Rank:730 漏洞数:74 )
@ 坑爹的名字。。
-
2012-06-08 19:16 |
z@cx ( 普通白帽子 | Rank:434 漏洞数:56 | 。-。-。)
@ 霸气的名字
-
2012-06-08 19:30 |
px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)
-
2012-06-08 20:17 |
xiaoshi ( 路人 | Rank:7 漏洞数:2 )
-
2012-06-08 20:59 |
数据流 ( 普通白帽子 | Rank:716 漏洞数:88 | all or nothing,now or never)
@ 坑爹的%20
-
2012-06-08 21:11 |
xiaoshi ( 路人 | Rank:7 漏洞数:2 )
@imlonghao 我发下我打错字了......
-
2012-06-08 21:32 |
px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)
-
2012-06-08 23:25 |
Rookie ( 普通白帽子 | Rank:288 漏洞数:78 | 123)
@ V5的名字
-
2012-06-08 23:37 |
tpu01yzx ( 实习白帽子 | Rank:58 漏洞数:8 | test)
经测试，对于工行的控件下载后一切正常，腾讯的扣扣离线下载就有问题，简单观察后发现腾讯的数字签名不见了，文件大小也不对。
-
2012-06-08 23:53 |
tpu01yzx ( 实习白帽子 | Rank:58 漏洞数:8 | test)
经过对比，发现在文件开始的400000（16进制）处开始出现不同的。是故意的吗?
-
2012-06-11 11:28 |
FallenAngel ( 路人 | 还没有发布任何漏洞 | 啊喔呃咿呜喻。。0.0)
@ 你这个名字太给力了
-
2012-06-11 11:40 |
xsser ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)
-
2012-06-11 11:56 |
FallenAngel ( 路人 | 还没有发布任何漏洞 | 啊喔呃咿呜喻。。0.0)
@tpu01yzx 正常下载没问题吧，上传后的文件好像也没问题的，是离线下载的问题吧 有两种可能 上传文件的时候将文件写入的时候写坏了 在就是离线下载的时候 出现了下载的数据的bug
-
2012-06-11 13:17 |
tpu01yzx ( 实习白帽子 | Rank:58 漏洞数:8 | test)
@FallenAngel 从出错的位置看，0x40000这个偏移量太特别了，懂逆向的童鞋可以发表一下意见，偶就不班门弄斧了。另外，上传上去的文件显示的大小已经发生了改变了。应该是上传到服务器保存的时候出了问题，与离线下载无关。又另外，工行的控件同样是exe文件，却没有问题，莫非百度和腾讯有仇。大伙可以多测试一下其他的exe，猜想大部分应该也没问题。当然还有一种情况就是有人上传了一个hash一样的错误文件，云端通过hash检测发现已经存在了就不再保存，而直接使用了之前错误的那个文件，这对于云端来说也是一个安全性挑战啊。
-
2012-06-11 13:18 |
xsser ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)
-
2012-06-11 13:21 |
tpu01yzx ( 实习白帽子 | Rank:58 漏洞数:8 | test)
@xsser 好吧，我想说，通过简单的肉眼统计分析，400000之后的内容不太符合一般exe文件的统计特性，随机性很强，应该是被加壳了，绝对是有意为之的，不像是程序出错造成的，由此有个大胆的假设：百度的网盘被攻击了。
-
2012-06-11 15:39 |
FallenAngel ( 路人 | 还没有发布任何漏洞 | 啊喔呃咿呜喻。。0.0)
@tpu01yzx @xsser 额···刚分析了下下载的文件，不是什么恶意行为或者病毒木马 原版大小: 49075616 字节文件版本: 1.84.3470.0修改时间: 2012年6月11日, 14:01:41MD5: 4E6B80E1516DBE1C81B0A8FBB98EC567SHA1: 984FB3C88B391C3FACFE59570E01ABF4ACE215A0CRC32: C1BF9488离线下载 48M大小: 50331648 字节修改时间: 2012年6月11日, 14:07:43MD5: D4EE6F2DEB32E7EA432632DB0556120ESHA1: DD0D06922E34CF64FB406440A9AD85D0C35898D6CRC32: A069C740普通下载大小: 49075616 字节文件版本: 1.84.3470.0修改时间: 2012年6月11日, 14:05:47MD5: 4E6B80E1516DBE1C81B0A8FBB98EC567SHA1: 984FB3C88B391C3FACFE59570E01ABF4ACE215A0CRC32: C1BF9488下载文件从00400开始偏移此处开始写入文件 文件的内容是0000到00400的内容一样的后面的依次是01C000200002c00看规律 如果我分析没错的话 0100处开始重写就这样一样一遍一遍的写 最后确定 还是离线下载保存的问题 但是我不明白为啥别的exe不会这样呢
-
2012-06-11 15:41 |
FallenAngel ( 路人 | 还没有发布任何漏洞 | 啊喔呃咿呜喻。。0.0)
我去 怎么乱七八糟的 日~下载文件从00400开始偏移此处开始写入文件 文件的内容是0000到00400的内容一样的后面的依次是 01C00 02000 02c00 看规律 如果我分析没错的话 0100处开始重写 就这样一样一遍一遍的写 最后确定 还是离线下载保存的问题 但是我不明白为啥别的exe不会这样呢 网盘一bug
-
2012-06-11 16:40 |
xiaoshi ( 路人 | Rank:7 漏洞数:2 )
