騰訊新漏洞？繞過(guò)加密QQ空間
相信有很多網(wǎng)友都在使用QQ空間，可以利用QQ空間來(lái)記錄自己的心情。但有的時(shí)候自己的QQ空間并不想讓其他人知道，那么就需要在QQ空間上設(shè)置權(quán)限或密碼，只有有權(quán)限或知道密碼的網(wǎng)友才能查看自己的QQ空間。
但現(xiàn)在要小心了，有一款名字為“風(fēng)很涼QQ加密空間日志查看器”的軟件，利用它無(wú)需權(quán)限，也不用知道對(duì)方的QQ空間密碼，就可以直接讀取任意QQ空間的日志。這意味著，無(wú)數(shù)的QQ空間用戶存在隱私危機(jī)，一些你并不想被人知道的私密日志，可能正在被窺視！
我們知道，無(wú)時(shí)無(wú)刻都有典型的“黑客”盯著騰訊新漏洞，并以此瘋狂盈利，從以往的刷Q幣到后來(lái)的暴力破解QQ空間密碼，騰訊的修補(bǔ)工作也是任重而道遠(yuǎn)。那么這一次究竟問(wèn)題出在哪里？
帶著這樣的疑惑，筆者以自己QQ空間為例（已是“密碼驗(yàn)證”狀態(tài)），馬上進(jìn)行測(cè)試。
圖1 QQ空間設(shè)置了“密碼驗(yàn)證”
“風(fēng)很涼QQ加密空間日志查看器”是一款綠色軟件，隨意解壓到任意目錄后就可以使用。運(yùn)行之后，先要根據(jù)提示輸入驗(yàn)證碼，然后即可在文本框中輸入要進(jìn)行查詢的QQ號(hào)碼，點(diǎn)擊查看按鈕就會(huì)開(kāi)始讀取QQ空間里面的日志。
圖2 “風(fēng)很涼QQ加密空間日志查看器”
讀取速度非常快，就會(huì)發(fā)現(xiàn)已經(jīng)加密的QQ空間日至已經(jīng)顯示出來(lái)，點(diǎn)擊日志標(biāo)題就可以查看日志內(nèi)容。要注意的是，這款“風(fēng)很涼QQ加密空間日志查看器”只能查看純文本內(nèi)容的QQ日志，如果日志中有視頻和圖片，則無(wú)法進(jìn)行查看。
圖3 被讀取出來(lái)的QQ空間日志
看到這里筆者不禁出了一身冷汗，連忙將QQ空間改為“好友驗(yàn)證”。結(jié)果再次大吃一驚——于事無(wú)補(bǔ)（見(jiàn)上圖）。#p#
為排除是本地緩存的原因，緊接著測(cè)試了其他數(shù)位好友的QQ號(hào)碼，結(jié)論依舊……
圖4 QQ空間啟用“好友驗(yàn)證”
QQ空間的驗(yàn)證功能完全失效了嗎？
筆者隨后借助TCPView這款網(wǎng)絡(luò)工具查看了這個(gè)“風(fēng)很涼QQ加密空間日志查看器”的TCP連接，經(jīng)多番測(cè)試，結(jié)果發(fā)現(xiàn)它連接到幾個(gè)不同IP，但是最終指向的卻是同一個(gè)域名……
圖5 騰訊人才招聘系統(tǒng)？
為什么會(huì)是“騰訊人才招聘系統(tǒng)”？
細(xì)心的網(wǎng)友可以留意到瀏覽器上方的地址：imgcache.qq.com ，這似乎是個(gè)常見(jiàn)的地址。此外它的二級(jí)域名也令人遐想。
莫非是因?yàn)樗械腝Q空間日志，都被緩存到服務(wù)器？當(dāng)然，更加深入的分析就是騰訊或者“黑客”方面的事情了……
再分析一下這款“風(fēng)很涼QQ加密空間日志查看器”：目前它只能讀取10篇日志，究竟是這個(gè)是疑為騰訊新漏洞的服務(wù)器限制，還是該作者故意有所保留？或者，這是一款“試用版”，而“收費(fèi)版”則可以具備完全沒(méi)有限制的強(qiáng)大功能？不得而知。
到截稿為止，騰訊方面還沒(méi)有封鎖這一漏洞。那么對(duì)于廣大的QQ用戶來(lái)說(shuō)，如何避免自己的隱私不被泄漏呢？這里教大家一個(gè)方法。由于“風(fēng)很涼QQ加密空間日志查看器”目前只能查詢前10篇QQ日志信息，所以可以在自己的QQ日志加上10篇無(wú)用的更新。這樣一來(lái)，就算有人窺視了自己的QQ空間，也還是看不到有用的信息，從而暫時(shí)讓自己的隱私不被別人發(fā)現(xiàn)。
【編輯推薦】
