当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0171397

漏洞标题：QQ某处内嵌url可替换配合xss可做钓鱼\盗取Cookie等

相关厂商：腾讯

漏洞作者： 路人甲

提交时间：2016-01-21 11:08

修复时间：2016-03-05 09:52

公开时间：2016-03-05 09:52

漏洞类型：XSS 跨站脚本攻击

危害等级：中

自评Rank：5

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-01-21： 细节已通知厂商并且等待厂商处理中
2016-01-21： 厂商已经确认，细节仅向厂商公开
2016-01-31： 细节向核心白帽子及相关领域专家公开
2016-02-10： 细节向普通白帽子公开
2016-02-20： 细节向实习白帽子公开
2016-03-05： 细节向公众公开

简要描述：

xss
水平太差，搞不定。貌似要手机打开，据说一天赚1000。
买这个方法要10000

详细说明：

已被利用的链接

http://connect.qq.com/widget/shareqq/index.html?url=http://www.qzonerer.com/atiklc/test.php&desc=&title=&summary=&pics=http://www.qzonerer.com/atiklc/test.php&flash=&site=&style=201&width=32&height=32

漏洞证明：

管理补充：

http://connect.qq.com/widget/shareqq/index.html?url=http://www.baidu.com
a1.png

修复方案：

不知道

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：1

确认时间：2016-01-21 15:35

厂商回复：

非常感谢您的报告，问题已着手处理，感谢大家对腾讯业务安全的关注。如果您有任何疑问，欢迎反馈，我们会有专人跟进处理。

最新状态：

暂无

漏洞评价：

评价

  1. 2016-01-21 15:51 | 大师兄 ( 实习白帽子 | Rank:31 漏洞数:8 | 每日必关注乌云)

    1

  2. 2016-01-21 15:52 | 欧冠狂魔阿森纳 ( 实习白帽子 | Rank:38 漏洞数:14 | 静静的看你们装逼)

    1

  3. 2016-01-21 15:55 | 辛丑条约 ( 路人 | Rank:0 漏洞数:1 | 清政府赔款白银4.5亿两，以海关等税收作保...)

    1

  4. 2016-01-21 15:56 | wanglaojiu ( 普通白帽子 | Rank:168 漏洞数:39 | 道生一，一生二，二生三，三生万物，万物负...)

    1

  5. 2016-01-21 16:02 | Mieless ( 实习白帽子 | Rank:35 漏洞数:10 | 我是来打酱油的。)

    温馨提示，千万别手贱点开http://url.cn/XQDssy

  6. 2016-01-21 16:07 | 木易 ( 普通白帽子 | Rank:110 漏洞数:25 | 历代鬼谷子虽一人之力，却强于百万之师。一...)

    1

  7. 2016-01-21 16:09 | 随风的风 ( 普通白帽子 | Rank:217 漏洞数:78 | 微信公众号：233sec 不定期分享各种漏洞思...)

    1

  8. 2016-01-23 14:00 | 法官 ( 路人 | Rank:4 漏洞数:3 | Seven QQ94170844)

    价值1w的法子厂商也就给你1rank

  9. 2016-01-31 20:06 | tangtanglove ( 路人 | Rank:13 漏洞数:5 | 一个对安全感兴趣的屌丝phper)

    @Mieless 手贱了

  10. 2016-02-15 16:43 | viewer ( 路人 | Rank:6 漏洞数:2 | viewer,I like all of you.)

    6666666