漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2011-02946
漏洞标题：手机QQ空间session偷取
相关厂商：腾讯
漏洞作者： mog
提交时间：2011-10-06 21:07
修复时间：2011-11-05 21:07
公开时间：2011-11-05 21:07
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2011-10-06： 细节已通知厂商并且等待厂商处理中
2011-10-06： 厂商已经确认，细节仅向厂商公开
2011-10-16： 细节向核心白帽子及相关领域专家公开
2011-10-26： 细节向普通白帽子公开
2011-11-05： 细节向实习白帽子公开
2011-11-05： 细节向公众公开
简要描述：
通过腾讯的手机QQ空间，可能偷取用户session，并进行非授权操作。
详细说明：
腾讯手机站点都采用URL参数sid进行session传递，通过将用户引导到恶意站点，获取referrer值中的参数可截获用户的session。
目前很多手机站点为了兼容性都是用URL传递session，只要在站点中发布直接调用的外链图片，或欺骗用户在站点中点击直接外链的url进行跳转就可以完成攻击
漏洞证明：
找了QQ空间里的网站分享做测试
1. 发布恶意站点的分享链接
2.使用手机进行浏览
3.访问电脑版，可直跳转到目标url上
4.截获提交的数据，可以看到sid已经提交出去
5.恶意站点的日志中记录了sid
6.使用获取的sid直接访问站点，可获取对应账户的权限
修复方案：
比较纠结，不过现在的手机大部分应该都支持cookie了
版权声明：转载请注明来源 mog@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2011-10-06 21:32
厂商回复：
thx
最新状态：
暂无