|
QQ空间是腾讯公司很有活力的产品,用户量非常巨大。多年前并不流行,但现在越来越多的用户在上面分享自己的照片新鲜事,QQ作为一个通讯工具,有时承载了太多的事情,很多不同的联系人都加在上面,但是有些时候,我们只是因为工作上的关系而加一下QQ,但是并不想让他们看到我们生活的全部,QQ详细全面的权限设置总是让人倍感温馨,超强的隐私保护使用起来也是非常放心。$ g; I6 o7 Y' h
# w) F& f L0 ^+ V5 b前些年空间的安全技术还不是太好,有一些比较低级的漏洞,这几年随着腾讯的重视,漏洞是越来越少,网上搜索到的破解QQ空间权限、查看加密像册的基本都不起作用,许多恶意软件还借机诈骗用户下载。 \8 X8 M: l0 ]) h1 ]+ l" f
, K7 p) l8 Y7 z
作为安全人员,从技术角度提一些个人看法。仅供参考。1 d' [0 v4 M, i4 {, S8 Q
/ U. ^9 t/ J1 ]- i0 F5 B/ c4 Y2 c6 ]( b4 R
! y/ c- j* w4 y思路:利用SKEY
0 M, E7 m6 k% [: W) {# G6 v/ z. C+ G. i, S8 L
登录QQ空间后,服务器会在客户端浏览器保存一个SKEY,每次浏览器访问qq.com 域下的网站时都会发送这个SKEY,服务器根据这个判断用户已经登录。如果拿到这个值,就可以假装是已经登录的用户。) J& ^1 u4 r: H9 f8 H3 k% {
/ r1 T& [6 t( M, n# U" q
存在的未知,有待验证:
# [9 W* I& b5 x( a7 i# s/ }5 ] N. B+ t1 \/ R/ ]1 P4 X( a) D2 z
1.SKEY有效期 ' e! i) y5 z* @' Z
" K F7 v" k" k: w2 I ~# H估计是一天
; R5 A4 g$ z3 g
* a! _+ ~; n8 t0 U1 ~: n. N% N2.SKEY与IP是否绑定' ~# S; m: ]: u7 l* C/ v9 o
" k( n/ I; R! N: O, a应该有绑定
9 u, l) ]5 s2 v9 a: L3 ^/ g+ I: \ U) V: _% a/ t' E
- }# J2 y, }; Y: P# C0 c
) ?7 d+ f$ T: `7 V
来看下面抓到的HTTP请求头:
4 @; f2 z$ n; Q! u6 i4 R- d9 ~6 a4 a/ ~# L
GET / HTTP/1.15 F# U) _6 h) _* W/ e4 m' p
Cookie: skey=@njGHHthuc; uin=o126******2;9 B |! E2 R. q4 N4 E. v/ z# a
Accept: image/jpeg, */*+ A* ^* e$ [6 A, V: _# V! e: B
Referer: qzone.qq.com
- p* y/ H T2 `0 pAccept-Language: zh-cn8 k6 s2 ^8 ~1 h/ r% Q4 h
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)" p( m( |' t# H: O2 x+ `# V: ^% K
Host: qz.qq.com
* `% u) r* Y: d% e. ?% TCache-Control: no-cache
1 j8 K1 P9 O9 E7 w0 I% E' \+ A& g' Y4 d/ U+ M
如果一切顺利,就会我们想要的页面。
8 N7 n1 A, ]9 S$ r5 H: Y1 j" J5 X/ D& N1 j9 i2 K
|
评分
-
查看全部评分
|