当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0143795

漏洞标题:腾讯QQ手机部落被用作虚假红包跳转(真实案例)

相关厂商:腾讯

漏洞作者: 往事如烟

提交时间:2015-09-29 11:22

修复时间:2015-09-29 15:39

公开时间:2015-09-29 15:39

漏洞类型:恶意信息传播

危害等级:低

自评Rank:2

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-09-29: 细节已通知厂商并且等待厂商处理中
2015-09-29: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

腾讯手机QQ的部落,被人恶意用作虚假红包跳转,不是简单的跳转,问题貌似很严重。

详细说明:

本人用手机查看了QQ部落,也仔细研究了一下,并没有地方可以添加链接或者其他方法,这个人可以做到这个,说明他自己不是腾讯的用户就是入侵了贵站分站,而且XXXX.clouddn.com这个域名我很久以前就在群里发现了传播虚假红包。
最主要的一点是,腾讯手机QQ所有网站打开右上角有个可以分享的标志,里面有局部,他这个网站却没有,压根没法举报!而且被他利用的链接(http://s.p.qq.com/pub/jump?d=AAAR6KES&_wv=1027)我已经打电话让工作人员提示危险网站了(电脑用户发链接可以看到危险,可是用分享的方式,丝毫没有任何影响),手机分享也是压根不拦截,因为这个是腾讯官方的地址。

漏洞证明:

如图,用户分享这个地址居然显示是QQ红包(当然我知道一些APP可以改了名字分享出来也可以显示QQ红包):

64A14E3109A125E150F4F87D34BC547C.png


手机打开之后显示:

2.PNG


点击拆开红包显示:

3.PNG


分析后发现地址居然是:http://s.p.qq.com/pub/jump?d=AAAR6KES&_wv=1027
腾讯手机QQ部落的官方网站跳转的,改地址没有改变,可是跳转之后的地址多次改变。
现在跳转到的地址是:http://7xn35l.com1.z0.glb.clouddn.com/index2.html 这个虚假红包页面。
当电脑用户第二次打开(加了代码,IP二次访问自动跳转其他网站):http://7xn35l.com1.z0.glb.clouddn.com/index2.html 这个页面的时候,网站会跳转到借贷宝推广的网站:https://lx2.jiudingcapital.cn/inviteEvent/index.html#/acceptInvitation?icode=XXXXXX&from=qq

修复方案:

请工作人员好好查查XXXX.clouddn.com这个域名的所有人。
好好处理下,为什么右上角不显示举报。

版权声明:转载请注明来源 往事如烟@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-09-29 15:39

厂商回复:

非常感谢您的报告,该问题并非安全漏洞。如果您有任何的疑问,欢迎反馈,我们会有专人跟进处理。

最新状态:

暂无


漏洞评价:

评论