2018年为你技术揭秘“QQ空间”自动转发不良信息的病毒式引流

更新于 2018-4-11 21:15:30 1058人阅读 5人回复 显示全部楼层

[提交至百度]
309992968

ZxID:27

784

主题

2749

帖子

52

宣传值

社区QQ达人特殊荣誉奖金点子奖霸世羽龙最佳靓妹奖

|阅读模式

大家经常会看到QQ空间自动转发一些附带链接的不良信息,即便我们的QQ密码并没有被盗取。最近通过对一个QQ空间自动转发链接进行分析,发现该自动转发机制通过利用腾讯网站存在漏洞的页面,精心构造出利用代码获取用户的QQ号和skey值,从而获得用户的一些敏感操作权限。并通过该漏洞自动转发一些不良信息诱导用户点击,从而导致大面积传播。

传播现象

如果有一天,你发现好多QQ好友空间都在发一条说说,并且这个说说附带了一个链接,像下图这样:

此时你就要注意了,那个网页你点进去你也会一起中毒,并在你没有察觉的情况下在你的空间转同样的内容。

针对这种情况,我们通过分析其原理得知其转发机制,下边我们以一个实例,并用最容易理解的方式来告诉大家这种不良信息是如何转发以及如何防范。

游客,如果您要查看本帖隐藏内容请回复


由此想到了之前的天涯病毒营销系统,它是通过服务端配置中间收信网站后生成客户端,当用户点击客户端样本后,其客户端样本使用WebBrowser控件加载QQ邮箱快速登录,再利用自动填表的方式让软件自动点击“快速登录”按钮,进而可以得到本机QQ当前登录的Client Key,然后将QQ号和ClientKey提交到远程服务器上,服务端即可通过该ClientKey进行QQ登录操作,登录之后具有访问QQ空间,QQ邮箱,财付通,修改个人资料,上传文件到QQ群共享等操作。这里的ClientKey和skey其功能相同,都是一个权限代码。

修复方案和建议

1. 针对用户,不要随意点击一些不良网站信息,如果不小心中招,解决方法就是快速退出空间,如果是手机登录的话就要退出QQ,重新登陆QQ,这样会产生新的skey,原来的skey就失效了。如果只是单纯的刷新网页,或者关掉手机QQ空间,则不会改变skey。

2. 针对漏洞厂商,要检测所有接口的输入参数,进行严格过滤,防止XSS漏洞的产生;同时要对数据请求来源进行判断,非同源数据过滤掉,从而防止CSRF攻击。

Muz9e7en

ZxID:895311

5

主题

30

帖子

1

宣传值

社区QQ达人

发表于 2018-4-14 09:20:21 | 显示全部楼层
鼓励发布优秀文章!

使用道具

云枫

ZxID:917713

0

主题

1

帖子

1

宣传值

社区QQ达人

发表于 2018-4-14 15:54:16 | 显示全部楼层
支持发布有意义的原创文章,加油

使用道具

微凉。

ZxID:916043

3

主题

24

帖子

0

宣传值

社区QQ达人

发表于 2018-4-14 23:04:28 来自手机 | 显示全部楼层
大巴巴巴爸爸测的爸爸额啧啧

使用道具

勉强幸福丶

ZxID:223

18

主题

1567

帖子

0

宣传值

发表于 6 天前 | 显示全部楼层
重中之重做做做做

使用道具

XiaoC

ZxID:917176

0

主题

39

帖子

0

宣传值

发表于 22 小时前 来自手机 | 显示全部楼层
学习学习感谢分享

使用道具

发表回复

本版积分规则

论坛手机实名制灰度测试上线X

使用QQ直接注册登录的用户必看

QQ用户登录注册需要完成手机实名制才可以发帖回帖...

立即查看!
X