突现利用今日头条 xss 漏洞盗号的网站

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

工单节点使用指南

• 请用平和的语言准确描述你所遇到的问题

• 厂商的技术支持和你一样也是有喜怒哀乐的普通人类，尊重是相互的

• 如果是关于 V2EX 本身的问题反馈，请使用反馈节点

这是一个创建于 1967 天前的主题，其中的信息可能已经有所发展或是发生改变。

先上网址： https://www.toutiao.com/ugc/share/wap/comment/6712628695149936648/

我的几个好友 QQ 被盗后发来上述链接（有的是 sinaurl 短链接）。伪装为 QQ 空间登录。该人头条号之前仅发过一条有关区块链的内容。

目前发现两个域名：原版（ puxt.cn ，在今晚八点之前）会检测 UA，仅 QQ X5 能访问，其余跳转 qq.com 。现在（ tsih.cn ）除了不检测 UA，基本相同。

脚本混淆得很好，伪装成 zepto。

抓包发现，会提交输入的用户名密码。提交后目前发现两个版本：

window.location.href = 'https://apps.game.qq.com/ams/wxlogin_redirect.html?s_url=aHR0cHM6Ly9oNS5xem9uZS5xcS5jb20vZGFpbHlSZXBvcnRlci9kZXRhaWwv';

window.location.href = 'https://ti.qq.com/qq20th';

(图片为下载源码后本地复现)

请大家注意防范。

伪装

条号

sinaurl

2 条回复 • 2019-07-12 20:50:59 +08:00

LanFomalhaut

2019-07-12 20:36:44 +08:00

刚还收到这么一个玩意儿。。

xtlsoft

2019-07-12 20:50:59 +08:00

今日头条已修复。