破解QQ空间的一些思路

扫黑除恶就除你

QQ空间是腾讯公司很有活力的产品，用户量非常巨大。多年前并不流行，但现在越来越多的用户在上面分享自己的照片新鲜事，QQ作为一个通讯工具，有时承载了太多的事情，很多不同的联系人都加在上面，但是有些时候，我们只是因为工作上的关系而加一下QQ，但是并不想让他们看到我们生活的全部，QQ详细全面的权限设置总是让人倍感温馨，超强的隐私保护使用起来也是非常放心。

前些年空间的安全技术还不是太好，有一些比较低级的漏洞，这几年随着腾讯的重视，漏洞是越来越少，网上搜索到的破解QQ空间权限、查看加密像册的基本都不起作用，许多恶意软件还借机诈骗用户下载。
2 F: j& e9 t; g5 @1 ]
作为安全人员，从技术角度提一些个人看法。仅供参考。



, u7 j2 x9 m6 i- n% R思路：利用SKEY
$ @6 G2 O! q+ k" g
登录QQ空间后，服务器会在客户端浏览器保存一个SKEY，每次浏览器访问qq.com 域下的网站时都会发送这个SKEY，服务器根据这个判断用户已经登录。如果拿到这个值，就可以假装是已经登录的用户。

存在的未知，有待验证：
+ }7 E' {; @& q1 _- x+ j
/ k  M* T5 ?9 V  J- F& }$ b$ h1.SKEY有效期
# ]. J# R. T$ b# e; s$ A
估计是一天

( Z' f  l0 V2 S& ]/ G* Q2.SKEY与IP是否绑定

( ^3 i1 k# X/ b. C0 F- z应该有绑定
) M: G  V" W: H
5 \, F4 I9 V8 z- D

' N" r& u" G3 i1 m- t; e来看下面抓到的HTTP请求头：
( h. w& Z7 D# G+ |& J; ]" ~  }* @
GET / HTTP/1.1
4 q, i2 `9 D1 K6 `/ Z4 g$ i4 u% HCookie: skey=@njGHHthuc; uin=o126******2;
4 l. x8 w& E' V! \/ [Accept: image/jpeg, */*
# c, K; U. ]1 l0 ~# rReferer: qzone.qq.com
Accept-Language: zh-cn
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)
3 B: T: p! l1 e6 Z( G8 VHost: qz.qq.com
Cache-Control: no-cache

如果一切顺利，就会我们想要的页面。
0 C* d0 D- ~9 W9 t8 ^) p+ D! U
6 j) M. [& W6 e1 I* ]3 K

扫黑除恶就除你

转正了吗，亲

百里千雪

看不太懂，感觉还是攒积分换软件对我来说更简单些

mydream123

这个技术看不懂啊