搜索

[9262] 2015-08-22_技术揭秘“QQ空间”自动转发不良信息

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-17
2015-08-22_技术揭秘“QQ空间”自动转发不良信息 技 术 揭 秘 “ Q Q 空 间 ” 自 动 转 发 不 良 信 息 F r e e B u f   2 0 1 5 - 0 8 - 2 2 大 家 经 常 会 看 到 大 家 经 常 会 看 到 Q Q 空 间 自 动 转 发 一 些 附 带 链 接 的 不 良 信 息 ， 即 便 我 们 的 空 间 自 动 转 发 一 些 附 带 链 接 的 不 良 信 息 ， 即 便 我 们 的 Q Q 密 码 并 没 有 被 盗 取 。 密 码 并 没 有 被 盗 取 。 最 近 通 过 对 一 个 Q Q 空 间 自 动 转 发 链 接 进 行 分 析 ， 发 现 该 自 动 转 发 机 制 通 过 利 用 腾 讯 网 站 存 在 漏 洞 的 页 面 ， 精 心 构 造 出 利 用 代 码 获 取 用 户 的 Q Q 号 和 s k e y 值 ， 从 而 获 得 用 户 的 一 些 敏 感 操 作 权 限 。 并 通 过 该 漏 洞 自 动 转 发 一 些 不 良 信 息 诱 导 用 户 点 击 ， 从 而 导 致 大 面 积 传 播 。 传 播 现 象 传 播 现 象 如 果 有 一 天 ， 你 发 现 好 多 Q Q 好 友 空 间 都 在 发 一 条 说 说 ， 并 且 这 个 说 说 附 带 了 一 个 链 接 ， 像 下 图 这 样 ：
此 时 你 就 要 注 意 了 ， 那 个 网 页 你 点 进 去 你 也 会 一 起 中 毒 ， 并 在 你 没 有 察 觉 的 情 况 下 在 你 的 空 间 转 同 样 的 内 容 。 针 对 这 种 情 况 ， 我 们 通 过 分 析 其 原 理 得 知 其 转 发 机 制 ， 下 边 我 们 以 一 个 实 例 ， 并 用 最 容 易 理 解 的 方 式 来 告 诉 大 家 这 种 不 良 信 息 是 如 何 转 发 以 及 如 何 防 范 。 转 发 机 制 转 发 机 制 腾 讯 地 图 的 一 个 实 时 竞 价 页 面 存 在 一 个 X S S 漏 洞 ， 由 于 没 有 对 请 求 参 数 做 严 格 检 查 ， 通 过 精 心 构 造 的 请 求 数 据 导 致 返 回 信 息 中 的 数 据 可 被 利 用 来 执 行 j s 代 码 ， 同 时 服 务 器 没 有 对 请 求 来 源 进 行 检 测 ， 因 此 可 以 造 成 C S R F 攻 击 。 查 看 之 前 抓 取 到 的 利 用 该 漏 洞 进 行 不 良 信 息 转 发 的 页 面 ， 在 该 页 面 开 头 嵌 入 了 一 个 i f r a m e 标 签 如 下 ： 标 签 s t y l e 为 隐 藏 属 性 ， 从 而 使 得 该 插 入 页 面 不 会 被 用 户 发 现 ， 插 入 的 页 面 链 接 就 是 构 造 好 的 u r l 地 址 。 当 页 面 被 加 载 时 ， 页 面 通 过 这 个 u r l 接 口 向 腾 讯 地 图 的 R e a l T i m e   B i d d i n g 服 务 器 发 送 一 个 请 求 ， 服 务 器 没 有 对 请 求 来 源 进 行 效 验 ， 直 接 将 请 求 的 数 据 返 回 ， 并 附 带 了 一 些 查 询 信 息 ， 如 下 图 所 示 ， 其 中 e x p l o i t 是 构 造 的 利 用 代 码 。 当 e x p l o i t   =   “ < / s c r i p t > < s v g > < s c r i p t > e v a l ( w i n d o w . n a m e ) ; / / ” ， 请 求 服 务 器 之 后 i f r a m e 标 签 里 的 内 容 就 变 成 下 边 的 内 容 ： 利 用 代 码 中 的 标 签 “ < / s c r i p t > < s v g > < s c r i p t > ” 用 于 绕 过 浏 览 器 的 X S S 过 滤 器 ， 浏 览 器 会 将 这 三 个 标 签 忽 略 掉 只 留 下 后 边 的 内 容 ， 然 后 第 一 个 注 释 符 号 将 后 边 的 内 容 都 给 注 释 掉 了 ， 最 后 的 有 效 内 容 就 一 句 ： e v a l ( w i n d o w . n a m e ) 。 之 后 e v a l 会 将 字 符 串 n a m e 里 边 的 内 容 当 作 j s 代 码 执 行 ， 其 执 行 结 果 就 是 在 文 档 结 尾 创 建 < s c r i p t > < / s c r i p t > 标 签 去 加 载 执 行 j s 主 功 能 模 块 h t t p : / / c o n f 3 . g a m e x m . n e t / m o o . j s 。 主 功 能 j s 部 分 代 码 如 下 所 示 ：
该 j s 代 码 做 了 混 淆 ， 其 按 照 O l O l l l = ” ( x ) ” 的 方 式 进 行 替 换 ， 我 们 还 原 第 一 部 分 代 码 为 ： e v a l ( " v a r   l   =   f u n c t i o n ( x ) { r e t u r n   S t r i n g . f r o m C h a r C o d e ( x ) } " ) ; 该 处 生 成 一 个 函 数 I ， 其 功 能 是 返 回 数 字 对 应 的 a s c i i 码 ， 下 边 利 用 该 函 数 将 一 些 数 字 还 原 成 新 的 函 数 ， 依 次 类 推 ， 最 后 解 出 来 的 功 能 代 码 如 下 所 示 : 代 码 通 过 d o c u m e n t . c o o k i e 获 取 用 户 的 c o o k i e 信 息 ， 然 后 从 中 提 取 u i n 值 和 s k e y 值 ， 通 过 抓 包 可 以 看 到 ， u i n 值 是 由 o 开 头 加 上 Q Q 号 组 成 ， 因 此 相 当 于 就 获 取 了 用 户 的 Q Q 号 ， s k e y 是 以 @ 开 头 的 一 段 字 符 。 之 后 调 用 函 数 d o c u m e n t . c r e a t e E l e m e n t 创 建 了 一 对 s c r i p t 标 签 来 执 行 如 下 脚 本 ： 其 中 参 数 q 是 Q Q 号 ， k 为 s k e y 的 值 ， g e t G T K ( s t r ) 是 为 了 给 s k e y 签 名 ， 这 样 可 以 确 保 s k e y 是 有 效 的 。 该 脚 本 把 获 取 到 的 Q Q 号 和 s k e y 值 通 过 附 加 到 链 接 参 数 提 交 给 远 程 服 务 器 。 利 用 利 用 S k e y 进 行 敏 感 操 作 进 行 敏 感 操 作 S k e y   是 一 次 性 口 令 ， 服 务 器 为 每 个 用 户 建 立 一 个 s k e y 作 为 用 户 的 权 限 代 码 ， 服 务 器 验 证 该 值 即 可 获 取 用 户 的 一 些 权 限 操 作 ， 该 值 会 被 浏 览 器 记 录 在 c o o k i e 信 息 中 ， 只 要 用 户 不 退 出 登 录 就 会 有 效 。 也 就 是 说 如 果 获 得 一 个 Q Q 号 码 的 S k e y 代 码 ， 也 就 相 应 的 拿 到 了 对 方 Q Q 登 陆 和 管 理 权 限 ， 通 过 调 用 相 应 的 操 作 接 口 A P I ， 即 可 不 通 过 用 户 密 码 实 现 对 用 户 空 间 ， 相 册 的 访 问 权 限 ， 同 时 也 可 以 发 表 说 说 ， 删 除 留 言 等 一 些 敏 感 操 作 。 下 边 进 行 一 个 简 单 的 测 试 来 实 现 在 Q Q 空 间 发 表 状 态 。 首 先 通 过 抓 包 获 取 到 c o o k i e 信 息 中 的 u i n 值 和 s k e y
然 后 我 使 用 c u r l 命 令 通 过 发 表 说 说 的 a p i 向 服 务 器 发 送 一 个 包 ， 包 内 容 如 下 ： C u r l 命 令 执 行 过 后 ， 会 在 我 的 空 间 就 自 动 发 了 一 条 说 说 ： t h i s   i s   a   t e s t 由 此 想 到 了 之 前 的 天 涯 病 毒 营 销 系 统 ， 它 是 通 过 服 务 端 配 置 中 间 收 信 网 站 后 生 成 客 户 端 ， 当 用 户 点 击 客 户 端 样 本 后 ， 其 客 户 端 样 本 使 用 W e b B r o w s e r 控 件 加 载 Q Q 邮 箱 快 速 登 录 ， 再 利 用 自 动 填 表 的 方 式 让 软 件 自 动 点 击 “ 快 速 登 录 ” 按 钮 ， 进 而 可 以 得 到 本 机 Q Q 当 前 登 录 的 C l i e n t   K e y ， 然 后 将 Q Q 号 和 C l i e n t K e y 提 交 到 远 程 服 务 器 上 。 服 务 端 即 可 通 过 该 C l i e n t K e y 进 行 Q Q 登 录 操 作 ， 登 录 之 后 具 有 访 问 Q Q 空 间 ， Q Q 邮 箱 ， 财 付 通 ， 修 改 个 人 资 料 ， 上 传 文 件 到 Q Q 群 共 享 等 操 作 。 这 里 的 C l i e n t K e y 和 s k e y 其 功 能 相 同 ， 都 是 一 个 权 限 代 码 。 修 复 方 案 和 建 议 修 复 方 案 和 建 议 1 .   针 对 用 户 ， 不 要 随 意 点 击 一 些 不 良 网 站 信 息 ， 如 果 不 小 心 中 招 ， 解 决 方 法 就 是 快 速 退 出 空 间 ， 如 果 是 手 机 登 录 的 话 就 要 退 出 Q Q ， 重 新 登 陆 Q Q ， 这 样 会 产 生 新 的 s k e y ， 原 来 的 s k e y 就 失 效 了 。 如 果 只 是 单 纯 的 刷 新 网 页 ， 或 者 关 掉 手 机 Q Q 空 间 ， 则 不 会 改 变 s k e y 。 2 .   针 对 漏 洞 厂 商 ， 要 检 测 所 有 接 口 的 输 入 参 数 ， 进 行 严 格 过 滤 ， 防 止 X S S 漏 洞 的 产 生 ； 同 时 要 对 数 据 请 求 来 源 进 行 判 断 ， 非 同 源 数 据 过 滤 掉 ， 从 而 防 止 C S R F 攻 击 。
* 本 文 作 者 ： 猎 豹 科 学 院 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理