利用QQ的cookie破解空间主人权限

小屋皮

# q" @. g1 H' w& y0 ?

　　首先我们先把如何“窃取”他人QQ的cookie先放一 重点来说一下如果得到别人QQ的登录cookie(其中包含skey密钥)，该怎么用！

　　当然一些基础的东东还是要给大家讲清楚的，在浏览器的网页上登录QQ时(比如登录QZone)，浏览器是怎么记录和保持你的登录状态呢？没错，就是cookie。而且腾讯为了安全，关系到QQ账户安全的cookie密钥(skey会话)是存放于浏览器进程的内存中的，这样其他程序就无法读取到了。

　　既然读取不到，我们是不是就无法自定义修改这些QQ的cookie登录密钥了呢？表明上看是天衣无缝，这里就是我们突破的关键所在了，于是乎灵光再次突闪，思路终于打开了！浏览器的cookie同源安全策略我们是无法改变的，但是我们可以用qq.com域名的对应关系“欺骗”浏览器来自定义修改存放于内存中的cookie密钥！

　　在这里我们的hosts文件又派上用场啦，使用记事本打开hosts，添加一条记录如下：127.0.0.1 qq.com 。然后打开asp本地服务器（想不到这个小工具还能用在这儿，神器哇！），在同目录下使用JavaScript脚本(或其他网页编程语言)创建你想要的cookie。完成后浏览器访问qq.com，你的自定义包含有skey密钥的cookie就被记录在了浏览器内存中，这时直接输入空间地址访问，就可以得到你自定义的对应主人cookie的空间管理权限了。有了主人权限，神马加密相册、无权访问都浮云啦！

◆关于QQ登录cookie的安全防范：

　　一方面需要腾讯加强自身WEB平台的安全架构，严防XSS漏洞，充分保障QQ账户的安全，不仅仅是密码的问题，对于本地的cookie验证同样做到异地检测，如发现异常直接Close！

　　另外我们QQ忠实的用户自己也应该多多关注一些关于QQ安全防范的常识(尤其是多多在菲菲博客的栏目里学习一下攻防的知识，知己知彼嘛！)。不点他人发来的来路不明的链接，不用安全未知的辅助工具，不上有害青少年“心理健康”的网站等等……

文文27

好深奥的样子

爱上你的唇1

大哥，能再仔细的解释一下吗