腾讯QQ钓鱼,qq空间允许帧嵌套

漏洞概要

缺陷编号:WooYun-2012-06378

漏洞标题:腾讯QQ钓鱼,qq空间允许帧嵌套

相关厂商:腾讯

漏洞作者:蟋蟀哥哥

提交时间:2012-04-25 15:01

公开时间:2012-06-09 15:02

漏洞类型:钓鱼欺诈信息

危害等级:中

自评Rank:10

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2012-04-25: 细节已通知厂商并且等待厂商处理中
2012-04-26: 厂商已经确认,细节仅向厂商公开
2012-05-06: 细节向核心白帽子及相关领域专家公开
2012-05-16: 细节向普通白帽子公开
2012-05-26: 细节向实习白帽子公开
2012-06-09: 细节向公众公开

简要描述:

差点就被钓鱼了

详细说明:

差点就被钓鱼了。。

漏洞证明:

首先是有人在qq群里欺骗点击:

链接是这样的:http://gz.ddmap.com/mstmap50007/g_adv_loc.jsp;^?cname=123&&curl=http://2651055qq.in/c10由于腾讯判断gz.ddmap.com为合法域名,所以可以直接点击.点击之后由于gz.ddmap.com的301重定向被重定向到钓鱼页面(gz.ddmap.com这个站的其他漏洞等会放出)

从上面可以看到,乍一看是腾讯qq。如果是已经等了腾讯的话,toolsbar上还会显示你的qq用户名。这点很容易上当.我也是仔细看了之后,再分析源码才知道如何做到的如果是没有登陆的情况下,就可以欺骗登陆了:

某些浏览器(比如我用的firefox)是不会有登陆提示的.

修复方案:

禁止页面被放进IFRAME嵌套,特别是有toolsbar的地方.

漏洞回应

厂商回应:

危害等级:低

漏洞Rank:4

确认时间:2012-04-26 11:03

厂商回复:

多谢提醒,我们正在关注相关问题

最新状态:

暂无

评价

  1. 2010-01-01 00:00 蟋蟀哥哥 白帽子 | Rank:357 漏洞数:55)

    又出现类似,仿真度更高的:
    http://event1.world2.wanmei.com/extend/wmpassport2/jsp/ssologout.jsp?url=//66.55.78.57/5/?id=152240012

  2. 2010-01-01 00:00 蚊虫 白帽子 | Rank:26 漏洞数:12)

    弄个登录框钓鱼什么的?!坐等公开

  3. 2010-01-01 00:00 Blackeagle 白帽子 | Rank:62 漏洞数:10)

    “我用的firefox”
    你用了noscript吧。。

  4. 2010-01-01 00:00 啤酒 白帽子 | Rank:62 漏洞数:8)

    方法越来越简单.手段越来越高明了。

  5. 2010-01-01 00:00 蟋蟀哥哥 白帽子 | Rank:357 漏洞数:55)

    @啤酒 是的。这就是组合拳