技术揭秘QQ空间”自动转发不良信息

大家经常会看到QQ空间自动转发一些附带链接的不良信息，即便我们的QQ密码并没有被盗取。最近通过对一个QQ空间自动转发链接进行分析，发现该自动转发机制通过利用腾讯网站存在漏洞的页面，精心构造出利用代码获取用户的QQ号和skey值，从而获得用户的一些敏感操作权限。并通过该漏洞自动转发一些不良信息诱导用户点击，从而导致大面积传播。

传播现象
如果有一天，你发现好多QQ好友空间都在发一条说说，并且这个说说附带了一个链接，像下图这样：

此时你就要注意了，那个网页你点进去你也会一起中毒，并在你没有察觉的情况下在你的空间转同样的内容。
针对这种情况，我们通过分析其原理得知其转发机制，下边我们以一个实例，并用最容易理解的方式来告诉大家这种不良信息是如何转发以及如何防范。
转发机制
腾讯地图的一个实时竞价页面存在一个XSS漏洞，由于没有对请求参数做严格检查，通过精心构造的请求数据导致返回信息中的数据可被利用来执行js代码，同时服务器没有对请求来源进行检测，因此可以造成CSRF攻击。
查看之前抓取到的利用该漏洞进行不良信息转发的页面，在该页面开头嵌入了一个iframe标签如下：

标签style为隐藏属性，从而使得该插入页面不会被用户发现，插入的页面链接就是构造好的url地址。
当页面被加载时，页面通过这个url接口向腾讯地图的RealTime Bidding服务器发送一个请求，服务器没有对请求来源进行效验，直接将请求的数据返回，并附带了一些查询信息，如下图所示，其中exploit是构造的利用代码。

当exploit = “</script><svg><script>eval(window.name);//”，请求服务器之后iframe标签里的内容就变成下边的内容：