漏洞概要
关注数(24)
关注此漏洞
漏洞标题：腾讯单点登陆clientkey缺陷已经黑产化工具化
相关厂商：腾讯
提交时间：2014-05-05 19:24
修复时间：2014-05-06 10:12
公开时间：2014-05-06 10:12
漏洞类型：成功的入侵事件
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
Tags标签：
无
漏洞详情
披露状态：
2014-05-05： 细节已通知厂商并且等待厂商处理中
2014-05-06： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
腾讯单点登陆clientkey缺陷已经黑产化工具化
详细说明：
qq快速登陆中有这样的一个clientkey
在某个论坛里发现的QQshell的完整客户端，
填入获取的qqnumber和clientkey后
qq下线后，用获取到的qq账号和cleintkey不能登陆。
qq下线后再次上线，用第一次得到clientkey依然可以登录！！！（此时的clientkey已经和第一次的clientkey不一样了）
恶作剧可以把生成的木马捆绑到礼物发给你的女神，然后就没有然后了，哎。
看看明天利用第一次获取的clientkey是否还能登陆，泪奔~
PS：正在央求小伙伴取消我传给他的clientkey，异地登陆也照样能提权登陆。
漏洞证明：
修复方案：
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-05-06 10:12
厂商回复：
非常感谢您的反馈，经过评估，该木马问题不属于安全漏洞。如果您有任何的疑问，欢迎反馈，我们会有专人跟进处理。
最新状态：
暂无
漏洞评价：
评论
-
2014-05-05 19:28 |
F4K3R ( 普通白帽子 | Rank:297 漏洞数:31 | 学习)
-
2014-05-05 19:36 |
酱油甲 ( 普通白帽子 | Rank:645 漏洞数:126 | 打个酱油，吃个海蜇~)
-
2014-05-05 19:36 |
计算姬 ( 普通白帽子 | Rank:398 漏洞数:90 | 看我看我看我啊)
-
2014-05-05 20:06 |
鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)
-
2014-05-05 21:19 |
Moogong ( 实习白帽子 | Rank:33 漏洞数:8 | 伪法医)
-
2014-05-05 22:17 |
银冥币 ( 实习白帽子 | Rank:35 漏洞数:21 | "/upload/avatar/avatar_251_b.jpg" />)
-
2014-05-05 22:26 |
博丽灵梦 ( 路人 | Rank:13 漏洞数:7 | = =cf)
-
2014-05-06 09:35 |
Bloodwolf ( 实习白帽子 | Rank:47 漏洞数:8 | whoami)
-
2014-05-06 10:16 |
孤独雪狼 ( 普通白帽子 | Rank:710 漏洞数:145 | 七夕手机被偷，这坑爹的七夕啊 。。。。)
-
2014-05-06 10:17 |
wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)
-
2014-05-06 10:21 |
浩天 
( 普通白帽子 | Rank:915 漏洞数:79 | 度假中...)
换谁谁忽略，这就跟发给你个木马你运行了一样，何止QQ丢了，啥都可以丢，包括丢人
-
2014-05-06 10:49 |
围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)
-
2014-05-06 11:31 |
xsser ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)
换个角度看问题，腾讯客户端很强悍的反查杀的能力，但是却把短板留到了一个key上，而且都成为黑产利用的方法，这个没有人想过么?
-
2014-05-06 11:33 |
计算姬 ( 普通白帽子 | Rank:398 漏洞数:90 | 看我看我看我啊)
如何获取他人的cleintkey呢？精髓不说，果断忽略啊
-
2014-05-06 11:41 |
167怪兽 ( 路人 | Rank:3 漏洞数:2 | 167怪兽)
-
2014-05-06 11:51 |
浩天 ( 普通白帽子 | Rank:915 漏洞数:79 | 度假中...)
-
2014-05-06 12:55 |
李旭敏 ( 普通白帽子 | Rank:469 漏洞数:71 | ฏ๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎...)
-
2014-05-06 14:09 |
F4K3R ( 普通白帽子 | Rank:297 漏洞数:31 | 学习)
@xsser 如果给你拿到KEY~你能拿到什么东西？0_0~
-
2014-05-06 16:07 |
黑名单 ( 实习白帽子 | Rank:60 漏洞数:13 | 像个傻瓜似的，为什么。)
-
2014-05-07 01:11 |
冷break ( 路人 | Rank:10 漏洞数:1 | 专注网络安全)
娱乐圈的qq shell～好像是helen带头玩的
-
2014-05-07 02:29 |
银冥币 ( 实习白帽子 | Rank:35 漏洞数:21 | "/upload/avatar/avatar_251_b.jpg" />)
@xsser 这和盗密码,键盘记录密码之类的,其实差不远....
-
2014-05-07 14:47 |
Wenien ( 路人 | Rank:27 漏洞数:3 | 既然目标是地平线，留给世界的只能是背影。)
-
2014-07-02 19:57 |
~奈何~ ( 路人 | Rank:2 漏洞数:1 | web安全有点兴趣)
我去， 尼玛蛋， 谁让你提交的， 失效了，还怎么玩。。
