漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-017688
漏洞标题：利用QQ空间可以查看空间主人给其好友的备注名
相关厂商：腾讯
漏洞作者： 王子
提交时间：2013-01-25 12:04
修复时间：2013-03-11 12:04
公开时间：2013-03-11 12:04
漏洞类型：用户资料大量泄漏
危害等级：低
自评Rank：3
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-01-25： 细节已通知厂商并且等待厂商处理中
2013-01-29： 厂商已经确认，细节仅向厂商公开
2013-02-08： 细节向核心白帽子及相关领域专家公开
2013-02-18： 细节向普通白帽子公开
2013-02-28： 细节向实习白帽子公开
2013-03-11： 细节向公众公开
简要描述：
用http://qz.qq.com/登录QQ空间的时候，可以查看空间主人给其好友的备注名。属于隐私泄露了。
详细说明：
用http://qz.qq.com/这个网址进入QQ空间，随便打开一个人的空间主页，地址格式如下http://qz.qq.com/QQ号码/home 其中QQ号码是对应的QQ号码，这个QQ号码经过我发现，貌似得是他的空间访问权限设置为任何人都可以访问。然后进入其中一篇有其好友发表评论的日志，你就可以看到评论者的名字，这个名字就是空间主人给他的这个好友的备注名，一般就是其真实姓名了，点击评论者的链接就会打开其主页，就可以看到其网名，如果评论者显示的就是其网名，那么QQ空间主人对这个好友则没有设置备注名。
还有就是你要查看的空间主人可以是任何人，不一定是你的好友，不用登陆也是可以查看的。
漏洞证明：
QQ号码1960575578(名字为默默)有一个好友,好友的QQ是442249817(名字为Hello),1960575578(名字为默默)把他的好友442249817(名字为Hello)的备注名字改为”Hi”,通常这个备注名只有1960575578(名字为默默)自己知道,但是我们可以通过以下方法看到默默给自己好友Hello的备注名Hi.如果你进入1960575578(名字为默默)的空间(http://qz.qq.com/1960575578/bloglist/)的时候提示没有访问权限,或者空间主人只对指定的人开放,那么请加1960575578为QQ好友就可以进入空间了.因为我不会设置空间权限,所以你没有访问权限的话,那就加个好友就可以查看了.
进入1960575578的QQ空间,地址:http://qz.qq.com/1960575578/bloglist/然后点击第一篇日志,名字是<难忘的一件事>,如下图所示,
<img src="http://img14.poco.cn/mypoco/myphoto/20130124/09/6644423320130124093043020.jpg" alt="" />
点击<难忘的一件事>这篇日志,打开之后,就会看到有个名字为”Hi”的人的评论,评论内容是”挺难忘的”,如图
<img src="http://img14.poco.cn/mypoco/myphoto/20130124/09/6644423320130124093348018.jpg" alt="" />
但是你要进入我们最常用的那个版本,地址:http://user.qzone.qq.com/1960575578/blog/1358988121,打开电脑版的QQ空间,查看评论,如下图
<img src="http://img14.poco.cn/mypoco/myphoto/20130124/09/6644423320130124095138065.jpg" alt="" />
可以看到同一条留言的名字显示为”Hello”.
同样进入QQ为1960575578的空间动态页面http://qz.qq.com/1960575578/home/看到日志<难忘的一件事>最新的动态,看到同一条评论的评论者的名字显示为”Hello”.显然,只有在qz.qq.com这个版本下的QQ空间的日志评论里面才可以看到空间主人给其好友的备注名,如果显示评论者的名字就是其昵称,显然空间主人给这个好友没有添加备注名.
<img src="http://img14.poco.cn/mypoco/myphoto/20130124/09/6644423320130124095444043.jpg" alt="" />
修复方案：
QQ空间的人员知道怎么修复
版权声明：转载请注明来源 王子@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：3
确认时间：2013-01-29 10:34
厂商回复：
非常感谢您的报告。我们会马上安排专人跟进确认处理，有新的情况会及时同步
最新状态：
暂无