中国8090小组- ‘ 钊涣

大家经常会看到QQ空间自动转发一些附带链接的不良信息，即便我们的QQ密码并没有被盗取。最近通过对一个QQ空间自动转发链接进行分析，发现该自动转发机制通过利用腾讯网站存在漏洞的页面，精心构造出利用代码获取用户的QQ号和skey值，从而获得用户的一些敏感操作权限。并通过该漏洞自动转发一些不良信息诱导用户点击，从而导致大面积传播。 

    此时你就要注意了，那个网页你点进去你也会一起中毒，并在你没有察觉的情况下在你的空间转同样的内容。 
   针对这种情况，我们通过分析其原理得知其转发机制，下边我们以一个实例，并用最容易理解的方式来告诉大家这种不良信息是如何转发以及如何防范。 
 转发机制 
     腾讯地图的一个实时竞价页面存在一个XSS漏洞，由于没有对请求参数做严格检查，通过精心构造的请求数据导致返回信息中的数据可被利用来执行js代码，同时服务器没有对请求来源进行检测，因此可以造成CSRF攻击。 

修复方案和建议 
1. 针对用户，不要随意点击一些不良网站信息，如果不小心中招，解决方法就是快速退出空间，如果是手机登录的话就要退出QQ，重新登陆QQ，这样会产生新的skey，原来的skey就失效了。如果只是单纯的刷新网页，或者关掉手机QQ空间，则不会改变skey。 

2. 针对漏洞厂商，要检测所有接口的输入参数，进行严格过滤，防止XSS漏洞的产生；同时要对数据请求来源进行判断，非同源数据过滤掉，从而防止CSRF攻击。