QQClientKey安全防范及问题

以前很多人利用QQ ClientKey来突破qq的一些权限，但是腾讯方面很快就修复了，但是今天有高手又分享了QQ ClientKey的一些漏洞的利用防范。

偶然一次发现这个所谓的IP验证确是形同虚设，有时甚至会误拦正常用户。因为利用者很容易就可以突破这个IP校验机制，原理是腾讯仅对旗下部分产品（如空间、微博等等）做了安全校验，而对其他产品则一律“放行”。。。

举例来说，你从QQ上直接点空间图标进入网页时看到了IP变动的提示，但是若点击游戏类的图标则不会有任何提示。这就可以证实推测是正确的。

【安全风险】

通过ClientKey直接登陆QQ旗下网站，在qq安全中心里我们是查不到登录记录的，甚至可以直接绕过QQ二代密保中的异地登录保护。所以很具有隐蔽性，一旦被坏人利用，对方就可以轻松获取你帐号下的所有权限，进而“为所欲为”。很多童鞋的空间被发垃圾信息很有可能就与key密钥泄漏有关。

【几种可能会泄漏Key的情况】

①公共上网场所，比如网吧或酒店；②电脑中了带有后门的木马/病毒；③遭到了ARP欺骗攻击或使用了非正规的IE代理；④网络链路存在劫持现象；⑤内网出口设备装有流量监控（可以查用户访问记录）；⑥其他场景，比如被他人手工复制窃取等等。

【修复与防范】

希望腾讯方面可以尽快完善和解决这方面的安全问题，对所有的ClientKey登录请求均增加IP绑定与验证，最好key密钥用过一次即失效。切实做好用户帐号的安全保障。而我们用户也要多多关注自己QQ号码的安全，养成经常修改密码的习惯，不要使用安全不明的软件，一定要开启安全卫士或电脑管家的实时防护，定期进行体检和木马的查杀。

小技巧：

说了半天可能有的小盆友还不知道ClientKey是什么呢？非常简单，当你从QQ客户端点击图标等方式进入QQ相关网站的时候，其实就是通过“http://ptlogin2.qq.com/xxx?clientuin=QQ号&clientkey=64位key字符串”这样的形式自动登陆的，这样可以免去手动登陆的麻烦。因为点击后网址跳转很快，所以一般不容易发现。