鬼仔's Blog

作者：xisigr

http://qun.qq.com是一个WEB版的QQ群信息系统，保存着你QQ群的所有信息，包括所有群的历史聊天记录，群论坛，群相册，群成员等模 块。其中群的历史聊天记录将会和客户端的群聊天记录同步更新。由于部分模块出现过滤盲点，导致恶意代码可以塞入缺陷模块。恶意代码可以使用worm方式传播，二叉树速度可在短时间内攻陷5000万个QQ群。在获取session后，即可替换身份登录。此时你所有的群信息（历史聊天记录，群分类，群成员）也 将大白于天下。

解决方案：在浏览qun.qq.com的时候，暂时可以通过noscript等插件来阻断恶意代码。