当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-09436

漏洞标题：免费使用腾讯离线下载业务下载超大文件

相关厂商：腾讯

漏洞作者： 牛奶坦克

提交时间：2012-07-10 19:04

修复时间：2012-08-24 19:04

公开时间：2012-08-24 19:04

漏洞类型：设计错误/逻辑缺陷

危害等级：低

自评Rank：5

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-07-10： 细节已通知厂商并且等待厂商处理中
2012-07-11： 厂商已经确认，细节仅向厂商公开
2012-07-14： 细节向第三方安全合作伙伴开放
2012-09-04： 细节向核心白帽子及相关领域专家公开
2012-09-14： 细节向普通白帽子公开
2012-09-24： 细节向实习白帽子公开
2012-08-24： 细节向公众公开

简要描述：

腾讯离线下载存在一点小逻辑错误，导致用户可以免费使用下载大文件。

详细说明：

非会员是无法使用QQ离线下载业务的，但是登陆lixian.qq.com后会让你试用，这个试用的规则是：
试用90天，容量为3G。
这个要求其实已经可以满足大部分人的临时需求了，但是如果超过3G呢？离线下载会提示我们空间不足，恰巧今天想下载一个大文件（4.1G），看了下离线下载的逻辑，发现点小问题，可以突破这个3G空间大小的限制！

漏洞证明：

利用方式：
1，首先添加这个大文件的种子，有两个文件，其中一个相对小点，可以直接添加，我们先加这个小文件的离线，前面两个包不去考虑，因为尝试修改大小并未成功，而且这个种子的hash不知是如何计算的。


主要看第三个包

POST /handler/lixian/get_http_url.php HTTP/1.1
Host: lixian.qq.com
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.8; rv:14.0) Gecko/20100101 Firefox/14.0
Accept: application/json, text/javascript, */*; q=0.01
Accept-Language: zh-cn,en-us;q=0.7,en;q=0.3
Accept-Encoding: gzip, deflate
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
X-Requested-With: XMLHttpRequest
Referer: http://lixian.qq.com/main.html
Content-Length: 104
Cookie: [马赛克]
Pragma: no-cache
Cache-Control: no-cache
hash=2796ccd5c8bd7456321164c0c1386e03cdc5ab3e&filename=os_x_facebook_developer_preview.dmg&browser=other


2，看名字应该是获取下载链接的url，hash是比较重要的一个参数（2796ccd5c8bd7456321164c0c1386e03cdc5ab3e），但是这个hash是什么？怎么生成的？会不会是文件的hash值？打开论坛提供下载信息的地方，看到这里

4.1G  OS X Mountain Lion DP GM.dmg
329K  os_x_facebook_developer_preview.dmg
已下载完成，校验值如下：
校验：
MD5 (InstallESD.dmg) = 8b4869920cd740414fe6b7e3f0b1be3e
MD5 (OS X Mountain Lion DP GM.dmg) = 802bf873b7eb5c9a4dccc1962e96fdba
MD5 (os_x_facebook_developer_preview.dmg) = d565a9ca199077908bef822277551cee
sha1
061fa407398e268a80dcfdcb7c8dc37cd71a8700  OS X Mountain Lion DP GM.dmg
2796ccd5c8bd7456321164c0c1386e03cdc5ab3e  os_x_facebook_developer_preview.dmg


3，Bingo！看来这个hash就是文件的sha1值，利用这个值匹配服务器上已经离线完的文件，那么我替换成那个4.1G文件的sha1和文件名重新提交，获取url看看。
4，提交如图


但是不要高兴的太早，因为我们没有走一个合法的离线流程，所以其中那个http链接是无效的。

$ curl http://xflxsrc.store.qq.com:443/ftn_handler/e9470017b2d667850026c93437f328180fd03ee55d5ccc8621d8bbd177d4471216e8b4ee072c3c059122206e09d1f36d4176dda031ba2f00c729bef4d365c636/OS%20X%20Mountain%20Lion%20DP%20GM.dmg
<?xml version="1.0" encoding="UTF-8" ?>
<response result="-29180" > 
 </response>


但也不要失望，因为下面还有个qq download（qqdl:）协议的地址，把这个地址填入QQ离线下载中



5，87MB不用担心，点击下载吧



也可以直接试用qqdl那个地址下载，突破了试用3G空间的限制，下大文件飙速度了。
6，其实qqdl的协议那里貌似也存在些问题，下班了，有空在研究。

修复方案：

最近有个龙泽洛拉什么的，大家懂。
PS：并不是什么安全BUG，腾讯自己瞧着办吧。

版权声明：转载请注明来源 牛奶坦克@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：8

确认时间：2012-07-11 11:29

厂商回复：

多谢反馈，我们正在跟进处理中~

最新状态：

暂无

漏洞评价：

评论

  1. 2012-07-10 19:14 | rayh4c ( 普通白帽子 | Rank:240 漏洞数:23 )

    泷泽萝拉？

  2. 2012-07-10 19:24 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    哎哟我去

  3. 2012-07-11 01:36 | Henry:bobo ( 普通白帽子 | Rank:104 漏洞数:22 | 本胖吊！~又高又肥2个奶奶像地雷)

    貌似我也下载了 超级给力！！

  4. 2012-07-11 08:58 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    900多M那个？离线下载不就是免费的么

  5. 2012-07-11 11:51 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    不就是仓井空全集么? 顺便问下 @rayh4c 你对得起苍井空么?

  6. 2012-07-11 13:17 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)

    迅雷离线貌似是免费的吧？

  7. 2012-07-11 18:04 | rayh4c ( 普通白帽子 | Rank:240 漏洞数:23 )

    @xsser 苍井空是谁？

  8. 2012-07-11 18:21 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)

    @rayh4c 其实我想问为啥这片会突然变得这么众所周知？