当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-016976

漏洞标题:空间分享链接可构成欺骗

相关厂商:腾讯

漏洞作者: lsh4ck

提交时间:2013-01-06 10:26

修复时间:2013-02-20 10:26

公开时间:2013-02-20 10:26

漏洞类型:设计缺陷/逻辑错误

危害等级:低

自评Rank:15

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-01-06: 细节已通知厂商并且等待厂商处理中
2013-01-06: 厂商已经确认,细节仅向厂商公开
2013-01-16: 细节向核心白帽子及相关领域专家公开
2013-01-26: 细节向普通白帽子公开
2013-02-05: 细节向实习白帽子公开
2013-02-20: 细节向公众公开

简要描述:

空间分享链接构成欺骗
可以构造分享链接欺骗用户到钓鱼页面

详细说明:

空间分享链接构成欺骗
分享到空间查看结果是没有链接的
因此可以造成欺骗

漏洞证明:

其实是想看金山一淘的然后看到这里

.jpg


分享页面

分享页面.jpg


JS里是

js.jpg


源码是

.jpg


url是

.jpg


构造欺骗

.jpg


来一发

.jpg


记得url要放到浏览器去run一下等于是生成一个分享的页面

run一下.jpg


空间效果

.jpg


发现分享次数*********
对比博客

.jpg


一个看流量小技巧奥
细心的黑阔可以辨别出么?或者是直接点击了基友分享的好东西?
那么普通用户的安全意识是。。。?
如果地址是钓鱼页面的话就会。。。?

修复方案:

额 url加密?我不懂- -

版权声明:转载请注明来源 lsh4ck@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:1

确认时间:2013-01-06 16:51

厂商回复:

非常感谢您的报告。这个问题我们已经确认,正在与业务部门进行沟通制定解决方案。如有任何新的进展我们将会及时同步。

最新状态:

暂无


漏洞评价:

评论

  1. 2013-01-06 10:50 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    目测是忽略。。。

  2. 2013-01-06 10:52 | 小胖胖要减肥 认证白帽子 ( 普通白帽子 | Rank:686 漏洞数:101 )

    @鬼魅羊羔 你总是乌鸦

  3. 2013-01-06 11:04 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    @小胖胖要减肥 +_+,我只是初步怀疑。。。

  4. 2013-01-06 17:31 | lsh4ck ( 实习白帽子 | Rank:81 漏洞数:14 | 不是黑客!但是黑客手段都要会?)

    @鬼魅羊羔 1..哈哈

  5. 2013-01-06 17:32 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    +1rank..

  6. 2013-01-06 17:33 | lsh4ck ( 实习白帽子 | Rank:81 漏洞数:14 | 不是黑客!但是黑客手段都要会?)

    @小胖胖要减肥 1哦,嘿嘿

  7. 2013-01-06 17:34 | lsh4ck ( 实习白帽子 | Rank:81 漏洞数:14 | 不是黑客!但是黑客手段都要会?)

    @px1624 可是我觉得非常严重啊- -,虽然技术性不强

  8. 2013-01-06 17:37 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    @lsh4ck 腾讯和百度还有新浪的漏洞,一级主要产品的可以盗号的8-10rank,成功打入盗取管理员账号后台并且可以外网登陆的13-15rank,直接搞定服务器上传shell之类的,20并精华。其他的基本都是5rank以下。一般10rank以上才有可能送礼物,还要看厂商的心情如何。

  9. 2013-01-06 17:56 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    @px1624 精辟。。。

  10. 2013-01-06 18:21 | lsh4ck ( 实习白帽子 | Rank:81 漏洞数:14 | 不是黑客!但是黑客手段都要会?)

    @px1624 嗯,有数了