[Qzone XSS?]hhotel.com.cn 是如何强制转发自己的内容到用户的 QQ 空间的？

[DennyDai]

今天碰到了类似空间xss的情况，但是分析不出来。
搜索了一下发现知乎上也有人发生相关问题。。。
描述比较详细我就不描述了，贴链接。。。
求分析

http://www.zhihu.com/question/31845257


v2好像也有人发过= = /t/202936
------------------------------------------
1. 首先HTTP GET了一下那条状态的链接（http：//http://milpmazy.hhotel.com.cn/blog/3351382536.html?vid=19&media=new&r=0.6491327），得到302 Moved Temporarily（跳转链接为http：//http://www.hhotel.com.cn/videos/play.php?vid=19&media=new&r=0.6491327）
2. 继续HTTP GET了一下跳转到的链接，并且研读了一下代码，发现网页的代码比较简单，并未发现什么恶意代码。
3. 鉴于上面的结果，猜测可能是网站的恶意代码有触发条件，并不是任何时候都会有恶意代码。我能想到的最简单的触发条件是，服务器端检查浏览器的User-Agent来决定是否返回带有恶意代码的网页，于是使用手机QQ的UA继续HTTP GET，并没发现得到的内容跟上次有什么区别。
4. 鉴于上面尝试的又一次失败，我开始了对其恶意代码触发条件的研究。结果再次碰壁：由于刚开始点击的那个朋友的那条状态已经删除，我就点击了另一个朋友转发的hhotel的状态，结果发现这一次，我的朋友圈没有被发送垃圾状态。推测结果是，服务器端有针对ip的过滤，只对第一次访问的ip返回恶意代码，或者网站正在调整，恶意代码暂时隐藏。

[virusdefender]

可能是csrf，但是试了几次都没办法复现。在tsrc的群里帮问了下。

[virusdefender]

已经复现 使用手机qq浏览器

[DennyDai]

@virusdefender 求细节？

[broncotc]

@DennyDai 意思就是用手机qq browser的UA吧

[DennyDai]

@broncotc 然而手机qq客户端的空间都不能触发，以前就是这么触发的。。估计还有其他判断条件

[virusdefender]

我已经找到漏洞所在，向tsrc报告了。感谢楼主~

[virusdefender]

@DennyDai 等待修复后公开细节

[virusdefender]

@DennyDai 公开分析报告了 https://virusdefender.net/index.php/archives/347/

[Famio]

@virusdefender 是否可转载报告文章，会注明出处，感谢

[virusdefender]

@Famio 可以~