漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2016-0191226
漏洞标题：今日爆发的一个利用腾讯跳转漏洞
相关厂商：腾讯
漏洞作者： 路人甲
提交时间：2016-03-31 21:57
修复时间：2016-04-01 20:21
公开时间：2016-04-01 20:21
漏洞类型：URL跳转
危害等级：低
自评Rank：1
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2016-03-31： 细节已通知厂商并且等待厂商处理中
2016-04-01： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
详细说明：
以下为群内发的消息
-
QQ用户免费领取500M手机流量啦！http://p.qq.com/s/FaaaElIL
-
细节描述：
1. 此链接会跳转到一个为http://qt.vnnp.win/zfbwap/alipay
的假冒的领取500m流量的页面
2.在此页面点击领取后会跳转到http://a.zhanjds.com/qqwap/admin_页面
此网站为 深圳云在线信息科技有限公司 旗下 是否被黑不可知
3.这个页面明显是钓鱼页面
会提示输入帐号和密码 且带验证密码正确性功能
输入帐号密码后 会自动向所有群发上述消息
造成恶性循环
另:此跳转漏洞不只是用来钓鱼QQ还有用来盗窃用户身份证等信息
且跳转连接会自带安全标识
漏洞证明：
http://p.qq.com/s/FaaaElIL
修复方案：
关闭此接口
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2016-04-01 20:21
厂商回复：
非常感谢您的报告。这个问题我们经过评估，目前该业务已有一些策略应对该问题，影响较为可控，故暂不作处理。如果您有任何的疑问，欢迎反馈，我们会有专人跟进处理。
最新状态：
暂无