漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-015349
漏洞标题：腾讯QQ客户端设计缺陷导致某安全策略绕过
相关厂商：腾讯
漏洞作者： 小猪太子
提交时间：2012-11-28 11:10
修复时间：2013-01-12 11:11
公开时间：2013-01-12 11:11
漏洞类型：非授权访问/认证绕过
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-11-28： 细节已通知厂商并且等待厂商处理中
2012-11-29： 厂商已经确认，细节仅向厂商公开
2012-12-02： 细节向第三方安全合作伙伴开放
2013-01-23： 细节向核心白帽子及相关领域专家公开
2013-02-02： 细节向普通白帽子公开
2013-02-12： 细节向实习白帽子公开
2013-01-12： 细节向公众公开
简要描述：
可能设计PC客户端，和移动客户端不是同一个部门或者是之前没有沟通好的问题吧。直接就把一个功能给省掉了？
详细说明：
想象一下，你的QQ密码泄漏了，可怕吗？
嗯，还行吧。
再想象下，有人跑到你家，把你的QQ聊天记录在翻着看，你怕吗？比如你的女友。
估计肯定很多哥们都把自己的聊天记录及时处理掉了吧？但是有的开会员的呢？全部漫游聊天记录哇！！亲…… 加密码吗？嗯，好注意，即使知道QQ密码也无法查看？你错了！！！
那么肯定有哥们说，我没开会员，我不怕。现在没开会员可以漫游七天
具体是咋回事呢？且看漏洞证明。
漏洞证明：
我在家登录QQ与小威进行聊天。聊天记录可以在本地进行查看
漫游的聊天记录需要先验证密码，密码不是 QQ密码，就是一个漫游密码，自己设置的。
很快记录就同步了。
这时候我手机登录QQ，查看聊天记录
这时候，我没有输入任何验证密码。直接就可以查看漫游记录了。
PS：经测试，当QQA在WP手机客户端登录，可以同时使用QQA在安卓客户端进登录，WP客户端没有任何反应。
如果某人QQ密码泄漏，盗取密码的人想要进行盗窃对方的隐私，选个坑爹的时间吧，比如凌晨2点，换谁都会睡觉了，总归QQ有电脑不在线的时候，窃取人登录手机客户端，信息就可以一览无余。
如果某男，与小MM调侃，被做IT女友发现了，那么取证简直太简单了，如果这是被不法份子利用，那就太恐怖了！
修复方案：
QQ客户端功能需要重新修改
版权声明：转载请注明来源 小猪太子@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：3
确认时间：2012-11-29 10:22
厂商回复：
感谢反馈，手Q漫游记录二次密码验证已在开发中，后面各平台版本将陆续上线。
最新状态：
暂无