以前很多人利用QQ ClientKey來突破qq的一些權(quán)限，但是騰訊方面很快就修復(fù)了，但是今天有高手又分享了QQ ClientKey的一些漏洞的利用防范。
偶然一次發(fā)現(xiàn)這個所謂的IP驗(yàn)證確是形同虛設(shè)，有時甚至?xí)`攔正常用戶。因?yàn)槔谜吆苋菀拙涂梢酝黄七@個IP校驗(yàn)機(jī)制，原理是騰訊僅對旗下部分產(chǎn)品（如空間、微博等等）做了安全校驗(yàn)，而對其他產(chǎn)品則一律“放行”。。。
舉例來說，你從QQ上直接點(diǎn)空間圖標(biāo)進(jìn)入網(wǎng)頁時看到了IP變動的提示，但是若點(diǎn)擊游戲類的圖標(biāo)則不會有任何提示。這就可以證實(shí)推測是正確的。
【安全風(fēng)險】
通過ClientKey直接登陸QQ旗下網(wǎng)站，在QQ安全中心里我們是查不到登錄記錄的，甚至可以直接繞過QQ二代密保中的異地登錄保護(hù)。所以很具有隱蔽性，一旦被壞人利用，對方就可以輕松獲取你帳號下的所有權(quán)限，進(jìn)而“為所欲為”。很多童鞋的空間被發(fā)垃圾信息很有可能就與key密鑰泄漏有關(guān)。
【幾種可能會泄漏Key的情況】
①公共上網(wǎng)場所，比如網(wǎng)吧或酒店；②電腦中了帶有后門的木馬/病毒；③遭到了ARP欺騙攻擊或使用了非正規(guī)的IE代理；④網(wǎng)絡(luò)鏈路存在劫持現(xiàn)象；⑤內(nèi)網(wǎng)出口設(shè)備裝有流量監(jiān)控（可以查用戶訪問記錄）；⑥其他場景，比如被他人手工復(fù)制竊取等等。
【修復(fù)與防范】
希望騰訊方面可以盡快完善和解決這方面的安全問題，對所有的ClientKey登錄請求均增加IP綁定與驗(yàn)證，最好key密鑰用過一次即失效。切實(shí)做好用戶帳號的安全保障。而我們用戶也要多多關(guān)注自己QQ號碼的安全，養(yǎng)成經(jīng)常修改密碼的習(xí)慣，不要使用安全不明的軟件，一定要開啟安全衛(wèi)士或電腦管家的實(shí)時防護(hù)，定期進(jìn)行體檢和木馬的查殺。
小技巧：
說了半天可能有的小盆友還不知道ClientKey是什么呢？非常簡單，當(dāng)你從QQ客戶端點(diǎn)擊圖標(biāo)等方式進(jìn)入QQ相關(guān)網(wǎng)站的時候，其實(shí)就是通過“http://ptlogin2.qq.com/xxx?clientuin=QQ號&clientkey=64位key字符串”這樣的形式自動登陸的，這樣可以免去手動登陸的麻煩。因?yàn)辄c(diǎn)擊后網(wǎng)址跳轉(zhuǎn)很快，所以一般不容易發(fā)現(xiàn)。
下載 
下載 
下載 
下載 
下載 
下載 
喜歡 
頂
難過
囧
圍觀
無聊
