当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-074511

漏洞标题:利用QQ邮箱的英文邮箱帐号、VIP邮箱帐号以及foxmail邮箱帐号可以轻松获取QQ号码

相关厂商:腾讯

漏洞作者: ddy

提交时间:2014-08-31 20:53

修复时间:2014-10-15 20:54

公开时间:2014-10-15 20:54

漏洞类型:重要敏感信息泄露

危害等级:中

自评Rank:10

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-08-31: 细节已通知厂商并且等待厂商处理中
2014-09-01: 厂商已经确认,细节仅向厂商公开
2014-09-11: 细节向核心白帽子及相关领域专家公开
2014-09-21: 细节向普通白帽子公开
2014-10-01: 细节向实习白帽子公开
2014-10-15: 细节向公众公开

简要描述:

0成本/低成本。。。看来用英文邮箱帐号、VIP邮箱帐号以及foxmail邮箱账号也隐藏不了QQ号啊
@魇 ,我给力的图片处理 又来啦!

详细说明:

使用域名邮箱,添加别人的 英文邮箱帐号、VIP邮箱帐号以及foxmail邮箱账号 不用对方接受也能看到对方的QQ号码
*新建成员系统会发出邀请信,对方“接受”后成员帐号即可生效
不用接受也能看到QQ号码
=-----=-=---=--==--=---=-=----=-==---=----=---=--=--=--=--
今天,收到了一个qq 的 VIP邮箱发来的邮件,我突然恶趣味想知道他的QQ号是多少

31105420a993339f991cd9f1a82255e101e7446d.png


001.png


我用的神器是:企鹅的域名邮箱

QQ截图20140831101637.png


QQ截图20140831101701.png


QQ截图20140831101742.png


选择添加成员((⊙o⊙)我可不敢拿我心爱的ddy域名做实验)

QQ截图20140831101757.png


QQ截图20140831101827.png


QQ截图20140831101841.png


好了,他 的QQ号出来了
。。。。。。。。。。。。。。。。。。。。。。。。。。
然后我试试腾讯官方的邮箱,想看看能不能爆出装备,错了,我是想看看能不能爆出qq号

QQ截图20140831101947.png


你想知道wooyun@qq.com主人的qq号是多少吗

QQ截图20140831102847.png


哈哈,我知道哦

QQ截图20140831102856.png


你想知道qqqqqq@qq.com主人的qq号是多少吗

QQ截图20140831102927.png


哈哈,我也知道哦

QQ截图20140831104802.png


遮住两位,你们自己猜吧。居然是个MM!

漏洞证明:

QQ截图20140831102847.png


QQ截图20140831102856.png


QQ截图20140831102927.png


QQ截图20140831104802.png

修复方案:

*新建成员系统会发出邀请信,对方“接受”后成员帐号即可生效
最起码 别人接受了 才显示QQ吧,严格一点的话,接受了也不显示QQ的。。
加***神马的也可以呀

Rank
求 礼物
~~~~(>_<)~~~~

版权声明:转载请注明来源 ddy@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:1

确认时间:2014-09-01 10:59

厂商回复:

非常感谢您的报告,问题已着手处理,感谢大家对腾讯业务安全的关注。如果您有任何疑问,欢迎反馈,我们会有专人跟进处理。

最新状态:

暂无


漏洞评价:

评论

  1. 2014-09-07 23:13 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    1rank估计是已经在tsrc报告过了吧。。。

  2. 2014-09-08 12:51 | ddy ( 实习白帽子 | Rank:44 漏洞数:16 | 其实第一次要我挖洞我是拒绝的。因为,你不...)

    @px1624 tsrc忽略了

  3. 2014-09-08 12:57 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    @ddy 哈哈,那就更能确信是重复了