腾讯悲剧鸟。。。。。原地址有图

显示全部楼层 · 发表于 2011-7-7 12:06:18

原地址：http://bbs.360.cn/3229787/250527362.html?recommend=1

北京时间7月7日，360安全中心发布重大安全警报称，腾讯公司旗下财付通支付产品出现高危漏洞，导致其数字签名证书被黑客利用制作木马病毒，而绝大多数杀毒软件无法防范。该漏洞将影响所有QQ彩钻、腾讯拍拍以及接入财付通支付平台的购物与充值网站的用户。目前，360已将该漏洞细节提交给国家漏洞库和腾讯公司，同时360安全卫士和360杀毒进行了紧急升级，能够防御并查杀“财付通木马”。

　　360安全专家介绍说，数字签名相当于一个程序的“身份证”，具备有效数字签名的程序通常被视为合法程序。而腾讯财付通漏洞是由于其数字签名证书缺乏必要的安全机制，任何人使用手机就可以申请到；同时，该证书也没有控制使用权限，可以为任意程序提供数字签名。这意味着，黑客可以毫无顾忌地用财付通数字签名制作木马，因为除360安全卫士外，其它杀毒软件目前尚无法有效拦截和查杀。

　　据验证，财付通数字签名在装有财付通根证书的电脑上会自动生效（使用财付通且安装了Tenpay.com Root CA）。因此，该漏洞主要威胁QQ彩钻付费用户、腾讯拍拍用户，以及其它接入财付通支付平台的购物和充值网站用户，用户量保守估计也在千万级水平。

　　360安全中心监测发现，网上已经出现了带有腾讯财付通数字签名的木马，感染量约为1.2万台电脑。从数字签名的时间戳判断，该木马最早出现在7月3日中午，是一款能够联网下载大量木马病毒的下载器，最明显的中招现象是浏览器首页被篡改为“7241网址导航”。由于财付通漏洞已经被黑客公开利用，此类木马的数量和感染量正在急剧上升，预计将成为未来一段时期最主要的木马。

　　此前，国际知名厂商RealTek也曾发生数字签名证书泄露事故，Stuxnet病毒就是利用RealTek数字签名逃避杀毒软件检测，破坏伊朗核电站等工业设施。与RealTek不同的是，腾讯财付通的数字签名证书更容易被黑客获取，因而对普通网民影响更大。

　　360安全中心紧急呼吁，腾讯财付通用户安装360安全卫士，只要正常开启360安全卫士木马防火墙功能，就能有效拦截腾讯财付通木马。用户也可以手动执行360安全卫士木马查杀功能，检查自己电脑是否已经受到腾讯财付通木马感染。

　　截至发稿前，腾讯公司尚未表态将在何时修复财付通数字证书的高危漏洞。

显示全部楼层 · 发表于 2011-7-7 12:07:57

有漏洞修复了不就好了，GOOGLE还花钱找漏洞了。

显示全部楼层 · 发表于 2011-7-7 12:09:09

本帖最后由 landseer20 于 2011-7-7 12:09 编辑

哈哈速度去提取证书

感谢腾讯啊

显示全部楼层 · 发表于 2011-7-7 12:10:13

landseer20 发表于 2011-7-7 12:09
哈哈速度去提取证书
感谢腾讯啊

你要干什么。。。。

显示全部楼层 · 发表于 2011-7-7 12:10:59

landseer20 发表于 2011-7-7 12:09
哈哈速度去提取证书
感谢腾讯啊

有用吗？估计没几个人会在财付通、支付宝里面留多少钱的！

显示全部楼层 · 发表于 2011-7-7 12:13:11

zhbst 发表于 2011-7-7 12:10
有用吗？估计没几个人会在财付通、支付宝里面留多少钱的！

有了证书能过掉90%的安软，你说有用不？

显示全部楼层 · 发表于 2011-7-7 12:13:52

大战在即，可信度不高

显示全部楼层 · 发表于 2011-7-7 12:15:55

gaofeier 发表于 2011-7-7 12:13
大战在即，可信度不高

期待测试。。吼两声

显示全部楼层 · 发表于 2011-7-7 12:16:52

观望及观察之中

显示全部楼层 · 发表于 2011-7-7 12:16:53

本帖最后由 zhbst 于 2011-7-7 12:18 编辑

landseer20 发表于 2011-7-7 12:13
有了证书能过掉90%的安软，你说有用不？

有了证书还需要密码呢，并且要登录密码和支付密码，现在QQ的密码也不是那么好盗的，并且一转账或者付账就会发短信告知的

[分享] 腾讯悲剧鸟。。。。。原地址有图