服务器之家:专注于服务器技术及软件下载分享
分类导航

云服务器|WEB服务器|FTP服务器|邮件服务器|虚拟主机|服务器安全|DNS服务器|服务器知识|Nginx|IIS|Tomcat|

服务器之家 - 服务器技术 - 服务器安全 - QQ 这个 1day 算漏洞吗?

QQ 这个 1day 算漏洞吗?

2023-08-23 04:00未知服务器之家 服务器安全

最近大家都在玩 QQ 的 0day,其实现在已经是 1day 了,因为 QQ 官方已经出了新的版本,在评估是否漏洞之前,我们先看看这个是怎么玩的? 首先准备两个账号,A 和 B,然后准备一个 bat 或者 exe 这种 windows 下可以双击执行的脚本或程

最近大家都在玩 QQ 的 0day,其实现在已经是 1day 了,因为 QQ 官方已经出了新的版本,在评估是否漏洞之前,我们先看看这个是怎么玩的?

首先准备两个账号,A 和 B,然后准备一个 bat 或者 exe 这种 windows 下可以双击执行的脚本或程序,比如 1.bat,内容为打开计算机,内容如下:

calc.exe

接下来,用 A 账户给 B 发送 1.bat,B 接收到的效果如图:

QQ 这个 1day 算漏洞吗?

想要执行这个 bat 需要点击下载,然后出现下面的界面:

QQ 这个 1day 算漏洞吗?

然后点击打开,才会用行该 bat 文件,效果如图:

QQ 这个 1day 算漏洞吗?

正常来说从发送到运行脚本,需要明确的下载打开操作后才可以执行,就这对于利用 QQ 钓鱼来说,成功率也还不错,而这个 0day 的具体操作我们可以对比一下,看看这个 0day 算不算,首先在发送的文件上,右键回复,输入文字,比如 点击,然后发送,目标收到的效果如图:

QQ 这个 1day 算漏洞吗?

这个时候,如果我们想看这个 1.bat 是什么,就会点击它,只需要单击一下 1.bat 就会自动下载并运行该 bat,效果与上面点击下载并打开一样。

这个问题,对于钓鱼来说成功率增加了一倍,从两步操作缩减到一步,也会因为对文件的好奇去尝试点击,殊不知,点击后就会运行攻击者所构造的病毒、木马程序,从而控制用户主机。

那这个问题算不算漏洞呢?

单击打开回复的内容应该是 QQ 本身的设计,用于提高用户体验,然而这个功能可以被恶意利用,提升钓鱼的成功率,对于用户而言,被钓鱼即使没有这个问题也是会被欺骗上当,而这个功能可能会让用户更容易被欺骗上当,这么一对比,也可以算作漏洞。

这个漏洞,影响的QQ版本为9.7.13以及之前的windows版本,在问题爆发之后,腾讯立即更新到了9.7.15版本:

QQ 这个 1day 算漏洞吗?

优化了部分体验,我们下载个,看看有什么变化,还是同样的操作,回复后的效果如图:

QQ 这个 1day 算漏洞吗?

跟之前的界面还是相同的界面,不同的是,在点击 1.bat 之后,不是运行该脚本,而是打开了脚本所在目录:

QQ 这个 1day 算漏洞吗?

这样与直接发送文件的方式就一致了,想要运行脚本,就需要先打开文件路径,然后双击 bat 才可以,钓鱼的难度又回到了过去。

作为安全从业者对于他人发送的文件,我们可以通过文件后缀来判断文件是否为可执行文件,而对于大众来说,不具备这样的技术知识,容易上当,如何避免自己被钓鱼呢?

  • 不要相信任何人发来的任何文件,包括自己认识的熟人,因为熟人的账号可能被盗
  • 打开文件之前一定要确认发送者的身份,可以利用视频、电话等方式来确认文件发送着的身份
  • 自己使用的所有工具尽可能升级最新版,及时更新软件和系统,防止历史问题成为攻击者帮手

做到以上三点,这个漏洞对你就没有影响,今天的内容到此结束,那么你认为这个问题算是个漏洞吗?

延伸 · 阅读

精彩推荐