出大事情了

wmcot · 发表于 2025-2-8 16:58:14

本帖最后由 wmcot 于 2025-2-8 17:12 编辑

大伙帮忙瞅瞅这种怎么实现的？是不是腾讯地图的图床？但是图床怎么png后缀打开确是跳转网页？有点技术含量啊。。。

https://industry.map.qq.com/cloud/policy/fi1e/20230615/20230615_7ef52200f2de6_0.png

手机网页打开他做了判断设备跳转的只走移动端。

自己的域名当然随便搞，关键这是腾讯的域名啊，无意在qq群看到的冒充抽奖的，有兴趣的可以发到qq聊天界面里面去看看。

whoareyou · 发表于 2025-2-8 21:15:46

本帖最后由 whoareyou 于 2025-2-8 21:23 编辑

就是利用了某个接口没有过滤可以上传伪造的png,而且前台会把图片当做网页来解析（或者说这个.png的后缀就是为了伪造的）
最终调用的是这个JS：

2025qqbb.oss-cn-beijing.aliyuncs.com/ld.js

复制代码

最终到一个红包页面

http://2025qqbb.oss-cn-beijing.aliyuncs.com/q/index.html

复制代码

ROSROS · 发表于 2025-2-10 01:11:19

这个地址估计要被封了。地址主人要么骂街了。2023 年上传的，看来要到头了。

88170351 · 发表于 2025-2-9 10:59:16

就跟图片伪装切片一样，服务器还支持

我是傻瓜 · 发表于 2025-2-8 19:24:44

看文件头是html文件，content-type:text/html，不是图片哦，之前很多人把视频伪装图片上传也是这个原理，虽然是图片，实际是视频碎片...

刘十九 · 发表于 2025-2-8 17:16:09

本帖最后由刘十九于 2025-2-8 17:20 编辑

这标题起的:@

view-source:https://industry.map.qq.com/cloud/policy/fi1e/20230615/20230615_7ef52200f2de6_0.png

zcmjj · 发表于 2025-2-8 17:14:24

图片上传的html找到接口就行qqwx灰产全这么玩

ai海里打渔 · 发表于 2025-2-10 14:11:13

试了下，大概原理是，腾讯的某个应用没有验证上传文件的类型，而是直接保存了上传请求的content type，上传者上传文件时候修改content=text/html
现在网页已封，估计有个刚晋级的小程序员要挨批了

ai海里打渔 · 发表于 2025-2-10 13:55:00

ROSROS 发表于 2025-2-10 01:11
这个地址估计要被封了。地址主人要么骂街了。2023 年上传的，看来要到头了。 ...

已经封了，哈哈

williamc2 · 发表于 2025-2-10 13:31:26

我以为是什么大事情

wmcot · 发表于 2025-2-10 00:01:23

怎么实现啊，哎

zsj1259 · 发表于 2025-2-9 12:09:46

话说这个图传上传接口是啥

zsj1259 · 发表于 2025-2-9 11:40:36

就是这个图片上传接口的漏洞，他把html文件的后缀改成png上传了

wmcot · 发表于 2025-2-8 22:50:04

研究半天搞不懂

		自动登录	找回密码
密码			注册

[疑问] 出大事情了