漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-048606
漏洞标题：腾讯QQ举报漏洞可直接可以封任意一个好友的QQ号
相关厂商：腾讯
漏洞作者： 老灰
提交时间：2014-01-12 10:11
修复时间：2014-02-26 10:12
公开时间：2014-02-26 10:12
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：15
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-01-12： 细节已通知厂商并且等待厂商处理中
2014-01-12： 厂商已经确认，细节仅向厂商公开
2014-01-22： 细节向核心白帽子及相关领域专家公开
2014-02-01： 细节向普通白帽子公开
2014-02-11： 细节向实习白帽子公开
2014-02-26： 细节向公众公开
简要描述：
已经有不法分子利用此漏洞冒充黑客进行勒索，以及冒充腾讯内部人员进行敲诈，此漏洞的危害极大，经本人测试，可永久封号。
详细说明：
其实原理非常的简单，但是这么简单为什么偏偏出现这样的漏洞，修改本地内存数据，将自己的QQ号修改成对方的QQ号，然而进行发广告骂人等恶意信息，让程序误判是对方发来的消息，然而举报即可。
漏洞证明：
首先我们打开自己的QQ，之后找到要封对方的QQ号。
我拿我自己的测试号来做实验，号码：609792954
首先我用我自己的号加这个测试号为好友。
然后我打开聊天窗口，看图。
然后打开CE，做外挂的朋友我想对这个都很了解，我就不解释了。
打开之后选择QQ进程，如图：
现在进程点击打开：
搜索自己的QQ号，比如我的QQ号：712060625
我就搜索712060625
搜索之后看结果：
结果非常多，我这里的结果有408个，每个人的搜索的结果都是不一样的。
由于本人不是专业做外挂的，而且这些数据大部分都是固定的，不会更变。
所以我用最郁闷的方法，一个一个尝试，我测试了几次，每次都在前面二十个地址以内。
会动的地址我们排除掉。
然后我们一个一个修改尝试，然后我们在QQ聊天窗口下发信息。
然后我们发布一些广告信息，就是自己发的信息变成对方发的信息。
比如：看图
发布垃圾广告之后，把之前CE修改的QQ号修改回去 也就是修改自己的。
如果不修改无法举报，修改回来之后进行举报。
如图：
没多久腾讯就发过邮件来了，请看邮件。
然后我登陆小号
这个图是今天的，时间是昨天的，因为我昨天测试的时候用同样的方法，小号没有解除限制所以时间显示是昨天的时间。
需要修改密码才能解除限制，想象一下有多少菜鸟不知道什么是密保的?
而且多次举报，行为恶劣号码将永久封号。
这漏洞的危害个人认为是非常大的，直接可使一个无辜的人永久封号，有网友找我说，有一个人自称是马化腾，说他的QQ号有非法行为，需要他汇款过去，否则封他的话。问话他是不是马化腾他确实封了他的号。希望腾讯尽快修复，以防不法分子继续勒索诈骗，让无辜的人受害。
修复方案：
可以在程序中加判断，也可以修改举报规则，方案非常多，想必你比我懂吧。
版权声明：转载请注明来源 老灰@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2014-01-12 19:16
厂商回复：
非常感谢您的报告，问题已着手处理，感谢大家对腾讯业务安全的关注。如果您有任何疑问，欢迎反馈，我们会有专人跟进处理。
最新状态：
暂无
( 核心白帽子 | Rank:1344 漏洞数:216 | 一个致力要将乌云变成搞笑论坛的男人)