当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2012-09662

漏洞标题:QQ隐私设置绕过漏洞

相关厂商:腾讯

漏洞作者: leo108

提交时间:2012-07-14 23:42

修复时间:2012-08-28 23:43

公开时间:2012-08-28 23:43

漏洞类型:设计缺陷/逻辑错误

危害等级:中

自评Rank:10

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2012-07-14: 细节已通知厂商并且等待厂商处理中
2012-07-16: 厂商已经确认,细节仅向厂商公开
2012-07-26: 细节向核心白帽子及相关领域专家公开
2012-08-05: 细节向普通白帽子公开
2012-08-15: 细节向实习白帽子公开
2012-08-28: 细节向公众公开

简要描述:

能查看到性别、城市、年龄和星座这几项,对社工是很有帮助的资料。
即使是在“系统设置”→“隐私设置”中,将各项资料的权限设置为仅自己可见,仍可以查看。

详细说明:

主要问题出在3GQQ的家园,利用方法如下:
登录http://w.159.com/,输入网址http://3g.qq.com
点击QQ,然后登录任意QQ帐号,登录成功之后点击最下方的“家园”
这个时候WAP浏览器的地址应该是类似
http://house60.3g.qq.com/g/s?sid=XXXXXXXXXXXXX&aid=home_self&g_f=9334
的URL
我们需要的就是sid的值,记录下来,假设是XXXXXXXXXXXXX
这时候只要在wap浏览器中访问
http://house60.3g.qq.com/g/profile/others_profile.jsp?from=visit&sid=XXXXXXXXXXXXX&u=目标用户QQ号&guest=true&g_ut=1
即可获得对方资料

漏洞证明:



随便挑了两个号

修复方案:

检查权限……

版权声明:转载请注明来源 leo108@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:1

确认时间:2012-07-16 11:39

厂商回复:

谢谢反馈,这属于逻辑设计缺陷,我们正在跟进处理。

最新状态:

暂无


漏洞评价:

评论

  1. 2012-07-14 23:46 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    我估计会呗忽略掉,我上次发的可以直接看到真实姓名和头像的都直接被忽略了。。。

  2. 2012-07-15 11:36 | cnhello ( 路人 | Rank:0 漏洞数:1 | 小菜一枚,学习中。。。)

    这个大牛不会填写的,同意楼上。。。

  3. 2012-07-15 12:19 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    坐等忽略……