当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-054255

漏洞标题:腾讯访客获取系统原理及漏洞

相关厂商:腾讯

漏洞作者: 孤零落叶寒

提交时间:2014-03-21 23:09

修复时间:2014-05-05 23:09

公开时间:2014-05-05 23:09

漏洞类型:设计缺陷/逻辑错误

危害等级:低

自评Rank:1

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-03-21: 细节已通知厂商并且等待厂商处理中
2014-03-24: 厂商已经确认,细节仅向厂商公开
2014-04-03: 细节向核心白帽子及相关领域专家公开
2014-04-13: 细节向普通白帽子公开
2014-04-23: 细节向实习白帽子公开
2014-05-05: 细节向公众公开

简要描述:

jsonp对一些主要信息的返回,造成了信息的不安全。客户收集,乱发广告

详细说明:

我也是最早做网站访客系统人之一,也小挣过一笔。但后来感觉这不是长久之际,所以不再继续研究。获取访客的方法我也在一些网站发布过,最安全的就是黄钻的被挡访客,但是有投资,后来是QQ美食,再后来寻找腾讯的jsonp返回数据,前几天有一个gameapp的可以返回很多信息,QQ,昵称,ip等账号的信息,后来不几天被封了,最近又发现一个,希望赶紧修改。这是一个腾讯开放平台的jsonp,地址http://dev.g.qq.com/checkLoginCallback.json?id=0&callback=xxxx

漏洞证明:

地址:http://dev.g.qq.com/checkLoginCallback.json?id=0&callback=xxxx

QQ截图20140321230103.png

可以看到昵称,QQ
QQ访客可以利用到。

修复方案:

加强对腾讯一些主要信息jsonp的检测,修改QQ美食,前几天好像不能用的了,现在有号了,又可以用于访客获取了

版权声明:转载请注明来源 孤零落叶寒@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:5

确认时间:2014-03-24 09:37

厂商回复:

非常感谢您的报告,问题已着手处理,感谢大家对腾讯业务安全的关注。如果您有任何疑问,欢迎反馈,我们会有专人跟进处理。

最新状态:

暂无


漏洞评价:

评论

  1. 2014-03-22 02:32 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    木有看明白的说~~

  2. 2014-03-22 15:33 | Sct7p ( 实习白帽子 | Rank:62 漏洞数:9 | 懂与不懂之间只隔了一层纸,懂的人会觉得很...)

    @鬼魅羊羔 网上很火的东西.用来做营销。有点类似上次那个群数据库

  3. 2014-03-22 23:43 | M4sk ( 普通白帽子 | Rank:1199 漏洞数:319 | 国内信息安全任重而道远,还需要厂商和白帽...)

    @Sct7p 还有访问网站就会记录QQ 手机号等信息吧? 营销牛~

  4. 2014-03-23 08:50 | 网维 ( 路人 | Rank:5 漏洞数:1 | 为您提供优质服务!)

    访问站点就能获取到你当前登录的qq号码

  5. 2014-03-23 12:15 | 北洋贱队 ( 普通白帽子 | Rank:252 漏洞数:25 )

    我用的一个QQ音乐的跨站实现的 还能得到skey

  6. 2014-03-23 17:04 | 小火苗 ( 路人 | Rank:6 漏洞数:1 | 我是一只小火苗呀,春风吹又生呀...)

    不是说有的是利用打开qq的哪个业务,然后抓取qq的吗?

  7. 2014-03-23 18:53 | thx ( 实习白帽子 | Rank:42 漏洞数:7 | 少走弯路!)

    为什么这种关注的人这么多?

  8. 2014-03-24 09:45 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @北洋贱队 我估计你的没了 哈哈

  9. 2014-03-24 10:02 | 孤零落叶寒 ( 普通白帽子 | Rank:162 漏洞数:26 | 今天的跌倒是是为了明天更好的站着)

    @北洋贱队 爽歪歪啊,获取了skey就获取了整个QQ的权限,干啥都行了。以前3366上有这个漏洞来,用了一段时间他来实现在线刷分,后来被封了

  10. 2014-05-06 15:13 | Beau ( 路人 | Rank:0 漏洞数:1 | 小菜一枚)

    已经被封了!