黑客攻入卡巴斯基网站数据库 大量机密信息外泄
利用python特性进行提权
February 9, 2009 16:20 | by
2009年2月8日晚，一名网友在国内最大的个人站长交流论坛—落伍者站长论坛 站长资源版发布一款声称能查询任意QQ的好友列表，并发布了该论坛站长：拒绝游泳的鱼的QQ好友列表。随即引来鲜花评价和站长们的跟帖。更有人编写网页查询版发了出来，到凌晨0：00点，站长们相继发现查询QQ数明显减少，该事件才至此告一段落。
“奶牛师兄”首发，激起落伍者热议。
据笔者跟踪认为，该软件是用户名为“奶牛师兄”的落伍者首发，但据笔者对软件观察后发现，软件上有一“检查更新”的链接指向hi.baidu.com/ahxjj，按照文章发布日期看，软件已经传播了2天。软件作者是何高人，暂不对其考证。而“奶牛师兄”的发布，的确激起落伍者的热议，有人担心隐私问题，有人下载测试，引来鲜花无数，跟帖无穷。
编程爱好者制作在线网页查询版。
经过一番讨论后，有落伍者找出该软件的原理，有人说是QQ空间的漏洞，更有编程爱好者编写在线查询版，欲引来流量暴涨机会，但到最后却事与愿违。0：00左右，漏洞被腾讯封了(有人通知腾讯官方)，但这时陆续有人把网页版做好，结果前功尽弃。
对此次落伍QQ“任意(查询)门”事件的思考。
落伍者的力量是强大的，但大家的隐私是应该尊重的，不应做损人利己的行为，更不应做损人不利己的行为。相信广大站长团结起来，一定会创造出奇迹。
冷漠 PS：下午Amxku 说有我所有的 QQ 好友列表，我心想怎么可能？难道 QQ 又出漏洞了··发来一看，还真是···郁闷了··网上搜索了下新闻，好多都已经报道出来了···目前漏洞已经被腾讯疯掉了····
“奶牛师兄”首发，激起落伍者热议。
据笔者跟踪认为，该软件是用户名为“奶牛师兄”的落伍者首发，但据笔者对软件观察后发现，软件上有一“检查更新”的链接指向hi.baidu.com/ahxjj，按照文章发布日期看，软件已经传播了2天。软件作者是何高人，暂不对其考证。而“奶牛师兄”的发布，的确激起落伍者的热议，有人担心隐私问题，有人下载测试，引来鲜花无数，跟帖无穷。
编程爱好者制作在线网页查询版。
经过一番讨论后，有落伍者找出该软件的原理，有人说是QQ空间的漏洞，更有编程爱好者编写在线查询版，欲引来流量暴涨机会，但到最后却事与愿违。0：00左右，漏洞被腾讯封了(有人通知腾讯官方)，但这时陆续有人把网页版做好，结果前功尽弃。
对此次落伍QQ“任意(查询)门”事件的思考。
落伍者的力量是强大的，但大家的隐私是应该尊重的，不应做损人利己的行为，更不应做损人不利己的行为。相信广大站长团结起来，一定会创造出奇迹。
冷漠 PS：下午Amxku 说有我所有的 QQ 好友列表，我心想怎么可能？难道 QQ 又出漏洞了··发来一看，还真是···郁闷了··网上搜索了下新闻，好多都已经报道出来了···目前漏洞已经被腾讯疯掉了····
Quotation
QQ空间的XML文件地址 及 其他与QQ相关的地址(原文见：http://hi.baidu.com/lvehe/blog/item/43c803083c6b3131e8248858.html)
星号用QQ号码代替即可
一、Activities Preview
http://labs.qq.com/ie8/preview/?uin=******
二、QQ空间访问次数查询（需权限）
http://g.qzone.qq.com/fcg-bin/cgi_emotion_list.fcg?uin=******
三、QQ空间收藏夹（需权限）
http://users.cnc.qzone.qq.com/fcg-bin/friend/friend_get_someinfo.fcg?cb=1&uin=*******
四、最近访客（需权限）
http://users.cnc.qzone.qq.com/fcg-bin/friend/friend_front_visitor.fcg?uin=******（2009年1月6日失效）
http://users.qzone.qq.com/cgi-bin/friendshow/friendshow_recent_visitor?uin=******
http://users.qzone.qq.com/fcg-bin/friend/friend_front_visitor.fcg?uin=******
五、临时对话
tencent://message/?uin=******&Site=lvehe&Menu=yes
http://wpa.qq.com/msgrd?V=1&Uin=******&Site=lvehe&Menu=yes
tencent://message/?uin=******&fromuserid=10001&touserid=10001&unionid=72000106&WebSiteName=拍拍网
六、在线状态
http://wpa.paipai.com/pa?p=1:******:16
七、这里的访客还到过
http://users.qzone.qq.com/fcg-bin/cgi_visitor_related.fcg?uin=******
八、心路历程（需权限）
http://e.qzone.qq.com/cgi-bin/cgi_emotion_indexlist.cgi?uin=******&emotionarchive=-1
九、留言板（需权限）
http://m.qzone.qq.com/cgi-bin/new/msgb_page.cgi?uin=******&archive=0&start=1&num=6
十、QQ论坛用户资料（失效）
http://bbs.qq.com/cgi-bin/bbs/friend/user_info_show?ln=******
十一、QQVideo用户资料
http://video.qq.com/userinfo.htm?u=*******
十二、叨客空间
http://www.taotao.com/v1/space/*******
十三、拍拍用户
http://shop.paipai.com/******
http://shop1.paipai.com/cgi-bin/user_info?uin=******
十四、QQ书签
http://shuqian.qq.com/******
十五、Q吧用户资料
http://user.qbar.qq.com/******
十六、Q歌Q魅用户资料
http://qgqm.qq.com/template/user_index.html?qq=******
十七、QQ秀
http://show.qq.com/my/inc/user_portal_info.html?opuin=******
十八、QQ空间音乐收藏（播放列表）
http://qzone-music.qq.com/fcg-bin/fcgi_agent_zhenghe.fcg?UIN=******&TYPE=16&PAGE_START=1&PAGE_END=10000&SELECT_FLAG=1
http://qzone-music.qq.com/fcg-bin/cgi_playlist_xml.fcg?uin=******
十九、礼品盒
http://gift.qzone.qq.com/othergift.html?uin=******
二十、宠物资料
http://client.pet.qq.com/cgi-bin/qq_pet_info?uin=*******
http://im.qq.com/client/info/qq_pet_info.html?&frienduin=******
二十一、日志列表（需权限）
http://b.qzone.qq.com/cgi-bin/blognew/blog_get_titlelist?uin=******&vuin=0&property=GoRE&category=&numperpage=20&sorttype=0&arch=0&pos=0&direct=1&r=0.8082843897968415
二十二、黄钻等级
http://vip.qzone.qq.com/fcg-bin/fcg_get_yellow_score?uin=******
二十三、备忘
http://photo.qq.com/cgi-bin/common/cgi_view_album?uin=******&refer=portal&albumid=######&password=@@@&verifycode=%%%%
二十四、空间头像
http://logoimage.qzone.qq.com/qzonelogo/******/1
http://qlogo4.store.qq.com/qzonelogo/******/1/0
二十五、滔滔心情
http://taotao.qq.com/v1/qz_space/title?uin=******&pos=0
http://taotao.qq.com/vc1/qz_first_utf8/def?uin=******&num=1
二十六、QQ相册
http://xap.photo.qq.com/******/16 （查看相册名字列表，包括隐藏相册）
http://szp.photo.qq.com/******/18 （对照片的评语）
http://qzone.soso.com/qz.q?uin=******&ty=album&pid=qz.s.photo （限于100张以内）
http://xastatic.photo.qq.com/http_staload.cgi?*******/相册ID
二十七、登陆QQ空间（zzpanelkey等于Q歌Q魅的clientkey）
http://imgcache.qq.com/qzone/jump.html#zzpanelkey=######&zzpaneluin=******&url=http://user.qzone.qq.com/******
二十八、是否为对方好友（先登录my.qq.com，如果xfriend=1则表示对方已加你为好友）
http://show.qq.com/cgi-bin/qqshow_noname_info?uin=*******&friend=1
二十九、QQ空间礼物（type=0为收到的礼物，1为送出的礼物）
http://drift.qzone.qq.com/cgi-bin/getgiftlist?uin=******&page=1&type=1
星号用QQ号码代替即可
一、Activities Preview
http://labs.qq.com/ie8/preview/?uin=******
二、QQ空间访问次数查询（需权限）
http://g.qzone.qq.com/fcg-bin/cgi_emotion_list.fcg?uin=******
三、QQ空间收藏夹（需权限）
http://users.cnc.qzone.qq.com/fcg-bin/friend/friend_get_someinfo.fcg?cb=1&uin=*******
四、最近访客（需权限）
http://users.cnc.qzone.qq.com/fcg-bin/friend/friend_front_visitor.fcg?uin=******（2009年1月6日失效）
http://users.qzone.qq.com/cgi-bin/friendshow/friendshow_recent_visitor?uin=******
http://users.qzone.qq.com/fcg-bin/friend/friend_front_visitor.fcg?uin=******
五、临时对话
tencent://message/?uin=******&Site=lvehe&Menu=yes
http://wpa.qq.com/msgrd?V=1&Uin=******&Site=lvehe&Menu=yes
tencent://message/?uin=******&fromuserid=10001&touserid=10001&unionid=72000106&WebSiteName=拍拍网
六、在线状态
<img border="0" SRC=http://wpa.qq.com/pa?p=1:******:5 alt="点击这里给我发消息">
http://wpa.paipai.com/pa?p=1:******:16
七、这里的访客还到过
http://users.qzone.qq.com/fcg-bin/cgi_visitor_related.fcg?uin=******
八、心路历程（需权限）
http://e.qzone.qq.com/cgi-bin/cgi_emotion_indexlist.cgi?uin=******&emotionarchive=-1
九、留言板（需权限）
http://m.qzone.qq.com/cgi-bin/new/msgb_page.cgi?uin=******&archive=0&start=1&num=6
十、QQ论坛用户资料（失效）
http://bbs.qq.com/cgi-bin/bbs/friend/user_info_show?ln=******
十一、QQVideo用户资料
http://video.qq.com/userinfo.htm?u=*******
十二、叨客空间
http://www.taotao.com/v1/space/*******
十三、拍拍用户
http://shop.paipai.com/******
http://shop1.paipai.com/cgi-bin/user_info?uin=******
十四、QQ书签
http://shuqian.qq.com/******
十五、Q吧用户资料
http://user.qbar.qq.com/******
十六、Q歌Q魅用户资料
http://qgqm.qq.com/template/user_index.html?qq=******
十七、QQ秀
http://show.qq.com/my/inc/user_portal_info.html?opuin=******
十八、QQ空间音乐收藏（播放列表）
http://qzone-music.qq.com/fcg-bin/fcgi_agent_zhenghe.fcg?UIN=******&TYPE=16&PAGE_START=1&PAGE_END=10000&SELECT_FLAG=1
http://qzone-music.qq.com/fcg-bin/cgi_playlist_xml.fcg?uin=******
十九、礼品盒
http://gift.qzone.qq.com/othergift.html?uin=******
二十、宠物资料
http://client.pet.qq.com/cgi-bin/qq_pet_info?uin=*******
http://im.qq.com/client/info/qq_pet_info.html?&frienduin=******
二十一、日志列表（需权限）
http://b.qzone.qq.com/cgi-bin/blognew/blog_get_titlelist?uin=******&vuin=0&property=GoRE&category=&numperpage=20&sorttype=0&arch=0&pos=0&direct=1&r=0.8082843897968415
二十二、黄钻等级
http://vip.qzone.qq.com/fcg-bin/fcg_get_yellow_score?uin=******
二十三、备忘
http://photo.qq.com/cgi-bin/common/cgi_view_album?uin=******&refer=portal&albumid=######&password=@@@&verifycode=%%%%
二十四、空间头像
http://logoimage.qzone.qq.com/qzonelogo/******/1
http://qlogo4.store.qq.com/qzonelogo/******/1/0
二十五、滔滔心情
http://taotao.qq.com/v1/qz_space/title?uin=******&pos=0
http://taotao.qq.com/vc1/qz_first_utf8/def?uin=******&num=1
二十六、QQ相册
http://xap.photo.qq.com/******/16 （查看相册名字列表，包括隐藏相册）
http://szp.photo.qq.com/******/18 （对照片的评语）
http://qzone.soso.com/qz.q?uin=******&ty=album&pid=qz.s.photo （限于100张以内）
http://xastatic.photo.qq.com/http_staload.cgi?*******/相册ID
二十七、登陆QQ空间（zzpanelkey等于Q歌Q魅的clientkey）
http://imgcache.qq.com/qzone/jump.html#zzpanelkey=######&zzpaneluin=******&url=http://user.qzone.qq.com/******
二十八、是否为对方好友（先登录my.qq.com，如果xfriend=1则表示对方已加你为好友）
http://show.qq.com/cgi-bin/qqshow_noname_info?uin=*******&friend=1
二十九、QQ空间礼物（type=0为收到的礼物，1为送出的礼物）
http://drift.qzone.qq.com/cgi-bin/getgiftlist?uin=******&page=1&type=1
chong
February 21, 2009 10:41
用来社工倒是不错.
万服务 
February 11, 2009 13:09
真厉害！！
Pages: 1/1 
1 
1
