腾讯访客获取系统原理及漏洞

漏洞详情

披露状态:

2014-03-21: 细节已通知厂商并且等待厂商处理中
2014-03-24: 厂商已经确认,细节仅向厂商公开
2014-04-03: 细节向核心白帽子及相关领域专家公开
2014-04-13: 细节向普通白帽子公开
2014-04-23: 细节向实习白帽子公开
2014-05-05: 细节向公众公开

简要描述:

jsonp对一些主要信息的返回,造成了信息的不安全。客户收集,乱发广告

详细说明:

我也是最早做网站访客系统人之一,也小挣过一笔。但后来感觉这不是长久之际,所以不再继续研究。获取访客的方法我也在一些网站发布过,最安全的就是黄钻的被挡访客,但是有投资,后来是QQ美食,再后来寻找腾讯的jsonp返回数据,前几天有一个gameapp的可以返回很多信息,QQ,昵称,ip等账号的信息,后来不几天被封了,最近又发现一个,希望赶紧修改。这是一个腾讯开放平台的jsonp,地址http://dev.g.qq.com/checkLoginCallback.json?id=0&callback=xxxx

漏洞证明:

地址:http://dev.g.qq.com/checkLoginCallback.json?id=0&callback=xxxx

QQ截图20140321230103.png

可以看到昵称,QQ



QQ访客可以利用到。

修复方案:

加强对腾讯一些主要信息jsonp的检测,修改QQ美食,前几天好像不能用的了,现在有号了,又可以用于访客获取了

版权声明:转载请注明来源 孤零落叶寒@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:5

确认时间:2014-03-24 09:37

厂商回复:

非常感谢您的报告,问题已着手处理,感谢大家对腾讯业务安全的关注。如果您有任何疑问,欢迎反馈,我们会有专人跟进处理。

最新状态:

暂无


漏洞评价: