专栏首页FreeBuf技术揭秘“QQ空间”自动转发不良信息

技术揭秘“QQ空间”自动转发不良信息

大家经常会看到QQ空间自动转发一些附带链接的不良信息,即便我们的QQ密码并没有被盗取。

最近通过对一个QQ空间自动转发链接进行分析,发现该自动转发机制通过利用腾讯网站存在漏洞的页面,精心构造出利用代码获取用户的QQ号和skey值,从而获得用户的一些敏感操作权限。并通过该漏洞自动转发一些不良信息诱导用户点击,从而导致大面积传播。

传播现象

如果有一天,你发现好多QQ好友空间都在发一条说说,并且这个说说附带了一个链接,像下图这样:

此时你就要注意了,那个网页你点进去你也会一起中毒,并在你没有察觉的情况下在你的空间转同样的内容。

针对这种情况,我们通过分析其原理得知其转发机制,下边我们以一个实例,并用最容易理解的方式来告诉大家这种不良信息是如何转发以及如何防范。

转发机制

腾讯地图的一个实时竞价页面存在一个XSS漏洞,由于没有对请求参数做严格检查,通过精心构造的请求数据导致返回信息中的数据可被利用来执行js代码,同时服务器没有对请求来源进行检测,因此可以造成CSRF攻击。

查看之前抓取到的利用该漏洞进行不良信息转发的页面,在该页面开头嵌入了一个iframe标签如下:

标签style为隐藏属性,从而使得该插入页面不会被用户发现,插入的页面链接就是构造好的url地址。

当页面被加载时,页面通过这个url接口向腾讯地图的RealTime Bidding服务器发送一个请求,服务器没有对请求来源进行效验,直接将请求的数据返回,并附带了一些查询信息,如下图所示,其中exploit是构造的利用代码。

当exploit = “</script><svg><script>eval(window.name);//”,请求服务器之后iframe标签里的内容就变成下边的内容:

利用代码中的标签“</script><svg><script>”用于绕过浏览器的XSS过滤器,浏览器会将这三个标签忽略掉只留下后边的内容,然后第一个注释符号将后边的内容都给注释掉了,最后的有效内容就一句:eval(window.name)。之后eval会将字符串name里边的内容当作js代码执行,其执行结果就是在文档结尾创建<script></script>标签去加载执行js主功能模块http://conf3.gamexm.net/moo.js。主功能js部分代码如下所示:

该js代码做了混淆,其按照OlOlll=”(x)”的方式进行替换,我们还原第一部分代码为:

eval("var l = function(x){return String.fromCharCode(x)}");

该处生成一个函数I,其功能是返回数字对应的ascii码,下边利用该函数将一些数字还原成新的函数,依次类推,最后解出来的功能代码如下所示:

代码通过document.cookie获取用户的cookie信息,然后从中提取uin值和skey值,通过抓包可以看到,uin值是由o开头加上QQ号组成,因此相当于就获取了用户的QQ号,skey是以@开头的一段字符。之后调用函数document.createElement创建了一对script标签来执行如下脚本:

其中参数q是QQ号,k为skey的值,getGTK(str)是为了给skey签名,这样可以确保skey是有效的。该脚本把获取到的QQ号和skey值通过附加到链接参数提交给远程服务器。

利用Skey进行敏感操作

Skey 是一次性口令,服务器为每个用户建立一个skey作为用户的权限代码,服务器验证该值即可获取用户的一些权限操作,该值会被浏览器记录在cookie信息中,只要用户不退出登录就会有效。也就是说如果获得一个QQ号码的Skey代码,也就相应的拿到了对方QQ登陆和管理权限,通过调用相应的操作接口API,即可不通过用户密码实现对用户空间,相册的访问权限,同时也可以发表说说,删除留言等一些敏感操作。

下边进行一个简单的测试来实现在QQ空间发表状态。

首先通过抓包获取到cookie信息中的uin值和skey

然后我使用curl命令通过发表说说的api向服务器发送一个包,包内容如下:

Curl命令执行过后,会在我的空间就自动发了一条说说:this is a test

由此想到了之前的天涯病毒营销系统,它是通过服务端配置中间收信网站后生成客户端,当用户点击客户端样本后,其客户端样本使用WebBrowser控件加载QQ邮箱快速登录,再利用自动填表的方式让软件自动点击“快速登录”按钮,进而可以得到本机QQ当前登录的Client Key,然后将QQ号和ClientKey提交到远程服务器上。

服务端即可通过该ClientKey进行QQ登录操作,登录之后具有访问QQ空间,QQ邮箱,财付通,修改个人资料,上传文件到QQ群共享等操作。这里的ClientKey和skey其功能相同,都是一个权限代码。

修复方案和建议

1. 针对用户,不要随意点击一些不良网站信息,如果不小心中招,解决方法就是快速退出空间,如果是手机登录的话就要退出QQ,重新登陆QQ,这样会产生新的skey,原来的skey就失效了。如果只是单纯的刷新网页,或者关掉手机QQ空间,则不会改变skey。

2. 针对漏洞厂商,要检测所有接口的输入参数,进行严格过滤,防止XSS漏洞的产生;同时要对数据请求来源进行判断,非同源数据过滤掉,从而防止CSRF攻击。

*本文作者:猎豹科学院,本文属FreeBuf原创奖励计划,未经许可禁止转载

本文分享自微信公众号 - FreeBuf(freebuf)

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2015-08-22

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 网吧营销大师投放“QQ部落刷粉”病毒

    摘要 随着互联网的普及,安全软件查杀能力的提升,许多灰产甚至黑产都将战场转向了安全性较低的网吧。近日,渔村安全团队监测到有QQ广告病毒通过网吧营销大师进行传播,...

    FB客服
  • 当“宿主”披上QQ盗号的外衣

    导读:生物学上病毒侵入的细胞就叫宿主细胞,而病毒则借助宿主的蛋白质和其他物质制造自己的身体,由于控制细胞增殖的结构基因发生突变,调节系统对它失去控制,结果就会造...

    FB客服
  • 利用Wireshark任意获取QQ好友IP实施精准定位

    虽然网上已经有了很多获取IP的qq插件,但是其原理大致都是相同的,但是插件的安全性而言就不敢恭维了,下面介绍如何利用wireshark获取好友ip。 一、打开w...

    FB客服
  • QQ宣布1月18号开始收费!马化腾真要牺牲QQ成全微信?

    随着微信的发展,当年如日中天的QQ已经逐渐没落。在微信发展的过程中,QQ曾立下汗马功劳。就连马化腾都亲口承认:为了成全微信,QQ做出了巨大牺牲。关于QQ的未来,...

    企鹅号小编
  • QQ 15岁了:看看那些年伴随我们一路走来的QQ

    2014年2月10日,是QQ 15周岁的生日。作为国内最成功的即时聊天软件,它已经伴随我们走过了15年的光阴,曾经最早使用它的青涩少年现在已经成为了中年大叔。它...

    腾讯大讲堂
  • 腾讯QQ 荣获“单一即时通信平台上最多人同时在线”吉尼斯世界纪录称号

    image.png 9月5日,吉尼斯世界纪录有限公司在深圳腾讯大厦为QQ颁发吉尼斯世界纪录“单一即时通信平台上最多人同时在线”的荣誉证书。腾讯QQ凭借最高同时...

    腾讯高校合作
  • QQ全新社交体系品牌

    腾讯ISUX
  • 9个亿的5位数QQ号用户中出现了神秘人物 三分钟挖掘出QQ大数据

    几天前,一个朋友来聊天,表示很羡慕我的6位QQ号,我说有啥好羡慕的,还有那么多5位号呢! 他感叹道:“一个5位号现在值好几万,早知道当初注册个百八十个的话,现...

    灯塔大数据
  • 去世、盗号、封号……QQ钱包里的钱怎么办!

    最近网上流传着“如果用户去世后,QQ钱包里的钱会被腾讯充公”的信息。这其实是一个谣言。根据《QQ钱包支付用户服务协议》和《财付通服务协议》,QQ钱包账户中存有余...

    企鹅号小编
  • 陪你长大的互联网产品,小时候都长啥样?

    18岁以前,我们总希望时间过得再快一点,好从父母老师的唠叨中挣扎解脱出来。 当我们再没有资格过儿童节,却无比怀念大大牌泡泡糖,一块钱一袋的小浣熊干脆面,英语课本...

    腾讯大讲堂

扫码关注云+社区

领取腾讯云代金券