[转]绕过锁定QQ功能进入(QQ空间等)网站

漏洞概要

缺陷编号: WooYun-2011-02700

漏洞标题: 绕过锁定QQ功能进入(QQ空间等)网站

相关厂商: 腾讯

漏洞作者: tpu01yzx

提交时间: 2011-08-22 12:54

公开时间: 2011-09-21 12:54

漏洞类型: 设计缺陷/逻辑错误

危害等级: 低

自评Rank: 2

漏洞状态: 厂商已经确认

漏洞来源: http://www.wooyun.org

Tags标签: 边界绕过 认证缺陷 认证设计不合


漏洞详情

披露状态:

2011-08-22: 细节已通知厂商并且等待厂商处理中
2011-08-23: 厂商已经确认,细节仅向厂商公开
2011-09-02: 细节向核心白帽子及相关领域专家公开
2011-09-12: 细节向普通白帽子公开
2011-09-22: 细节向实习白帽子公开
2011-09-21: 细节向公众公开

简要描述:

http://www.wooyun.org/bugs/wooyun-2010-02538
跟这个描述差不多,还没有修复好。
不好意思,引用到了“笨猫猫”的很多话。

详细说明:

点击锁定后的“反馈问题”按钮

虽然在打开的页面中已经处理掉了连接,还是可以通过直接输入网站地址访问其他腾讯的子网站,其中包括财付通,id.qq.com等,这些网站至少帐号的财务信息,好友信息等。

漏洞证明:

笨猫猫:不知道该怎么证明漏洞。。要不你们来我电脑挂QQ并锁定好了。。

修复方案:

笨猫猫:亲~你懂得

版权声明:转载请注明来源 tpu01yzx@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:3

确认时间:2011-08-23 08:49

厂商回复:

最新状态:

暂无


漏洞评价:

对本漏洞信息进行评价,以更好的反馈信息的价值,包括信息客观性,内容是否完整以及是否具备学习价值

打赏

发表评论

电子邮件地址不会被公开。 必填项已用*标注