百度推出QQ升级?

在老同学的博客上看到这么一则消息:“腾讯八周年升级活动已经出来了,和百度合作,轻松升到30级”。第一反应当然知道这是骗人的,QQ升级的骗局见多了,很多页面的源代码上都注明了“只为获取流量,与腾讯无关”。可是,一看网址,觉得奇怪了;网址真的是百度的:http://imgnews.baidu.com/ir?t=1&u=&f=%68%74%74%70%3A%2F%2F%71%71%2D%72%2E%63%6E?QQ=49451441。难道百度真的推出了QQ升级?

仗着最安全的Firefox浏览器,我点下了这个网址。不出所料,出现了经典的QQ号码输入界面。抬头一看网址,变成了http://qq-r.cn/?QQ=494514416。咦,百度又出现跨站漏洞了?

先看看百度服务器返回的数据吧。手头没有nc,也不想抓包,就在记事本里构造好HTTP请求包,用telnet.exe提交(命令为telnet imgnews.baidu.com 80)看看:

居然返回了302重定向,而f=后面那串数据解码后正是http://qq-r.cn/?QQ=494514416。用别的网址替换f=参数试一试,同样会302重定向:

看来百度这次的漏洞可比以前的搜索关键字处跨站严重得多了,可以直接重定向。

且不说百度这个漏洞,先看看qq-r.cn这个页面有没有问题。查看源代码:

宽高均为0的iframe,显然有问题。既然我用的是Firefox,不怕中毒,就打开new99.htm!是一个空白网页,同样查看源代码:

这个页面到外部的调用只有一个51.la的统计,木马显然就隐藏在这些加密数据里。但是Firefox不能运行VBScript,怎么才能知道真实地址呢?我想到了可以运行VBScript的ASP。把代码稍稍整理一下,去掉可能有危险性的ExecuteEval,在script标签中加上runat="server",用Response.Write直接输出解密结果。木马的地址现形了:

从目录名看,是一个会在局域网内发起ARP攻击的木马。尝试用FlashGet下载这个木马,马上被Symantec报告为W32.SillyFDC病毒。不过,看看解密后的代码,发现脚本下载木马的方式就是用XMLHTTP和FSO,而没有用浏览器溢出,这种下载方法很多年前就失效了,怪不得我老同学保证“这个网址肯定是没有毒”。

至此,所谓“百度推出QQ升级”的说法已经被揭穿了。万一网马用了比较新的漏洞,就会有很多人看着是百度而中招了;人在网络,还是要多多小心,就是百度也不能放松警惕啊。

Tags: security