Jarett's Blog

这种盗QQ的方法在去年就已经见到过了，当时以为是腾讯某个客服的不严谨造成的，最近又有人被这种手法搞了，下面转载的是受害人的描述。这种方法高明之处在于，腾讯并没有给申诉的好友一个相应的权重值，就是说加了2,3天的好友和加了2,3年的好友在申诉系统里面是一样的，因此才会让这种方法可以起作用，希望未来腾讯能改进申诉系统，使其更加合理。未来手段应该是结合美女头像资料等，防范方法当然是不通过任何陌生人的请求，就算头像是美女也别上当。以下是来自乌云zone的全文：

今天下午16:25分左右，QQ意外被黑，发现问题后，我的第一反应就是用密保来修改密码，因为当时着急，没仔细想，结果就发现，密保居然不正确了（返回头想，更改QQ密码，除非手机宝令绑定，或者超级QQ绑定后，才可以直接更改密码，其他更改措施，都需要密码保护来验证，既然密码不正确了，密保肯定也就被重置了，当然无法更改了。）

进一步检查发现，出了QQ密码，密保手机、手机宝令、QQ密码保护等措施，全部被人重置了，于是我直接联想到了QQ申诉，当然了，QQ申诉必须具备几个条件，姓名、常用IP、三个人以上的QQ好友辅助验证以及曾用密码，才可以重置QQ密保，我一直以为是QQ申诉出来新的漏洞了，可以直接秒杀（后来一琢磨，发现不是QQ漏洞的问题，因为申诉我的号码，他已经具备了几个条件，我的名字是公开的，这个条件成熟、常用IP可以直接代理，也成熟，常用密码的话，有QQ裤子就好说，直接查询历史密码，这还不够，问题就出在最关键的QQ好友辅助上了，我是栽到这里了。）

先不多说，我先贴几张图，咱看图说话。。。
大家注意下2013-09-03 16:29分的纪录，是申诉审核通过后的，大家也知道，申诉审核时间，是4小时之内，但是通常2小时就会有结果了，估计申诉时间大概是下午2点前后，申诉成功后，直接开始更改我的密码和密保资料，幸运的是我在他重新设置密保资料之前，就提交了一次申诉材料，当然了，我知道的账号信息肯定比他要全，毕竟是我自己的号。

在修改我的密保以后，第一件事，就是进我的QQ邮箱，因为我QQ邮箱设置了独立密码，他又用设置好的密保，重置了我的独立密码，进入了邮箱，大家看下IP地址，是代理的呼和浩特市，跟我的常用IP很接近，但是，还是有区别的。。这就说明，这个家伙在登陆我邮箱的时候，用的依然是代理，重置了我QQ邮箱独立密码以后，就直接奔我的乌云账号去了，通过乌云账号密码找回功能，直接修改了我的乌云密码，并且转账走了33乌币（顺便说下，乌云这个账号找回，真心不安全，只要拿到邮箱，就肯定能拿到乌云账号，其实应该跟微信绑定上，微信，就算拿到了密码，也无法登陆，必须在常用手机上，才可以登录微信，这个足够安全。）

开始找回我乌云账号密码了：（这厮还懂得删除痕迹）

乌云转账截图，这是我找回QQ号以后，重置了乌云密码看到的内容：

出去办了点事情，回来，我的小伙伴们已经有个结果了：
陈再胜小朋友射到了这个家伙的乌云密码，但是果不其然，是个小号，也不知道是转几次的小号了，WB直接转给了xcloud这个账号，估计这个账号也是个小号，肯定又转到了另外一个账户上：

仔细回想了下，最近加我的人实在太多了，大部分都是加进来，不说话，要么就是无限次的重复一句话，之前没在意，出了这事儿后，我才明白过来，这就是申诉找回的最重要的一个环节，加你，不是为了聊天，而是为了后续的好友辅助申诉，我也不知道具体是哪个人，我还是先贴出来吧。。误伤了莫怪。。

最近加的这些人，行为真心古怪，反复的问我：“在吗？”，我回答后，就没动静了，第二天，还是回重复同样的话，问你在不在。
当然了，这些人，我都是单向好友，也就是我同意他们加我好友，但是我并没有加他们。

后来琢磨了下，这样的话，如果也能被申诉，那么只有一种可能性，腾讯不会验证对方是否在你的好友列表当中，而是把经常聊天的人当做了常用联系人，也就是默认成了好友，就算你好友没加他，对方一样可以进行辅助申诉。

事情到此也就有个结果了，经过这次事情，给大家总结了几个经验。

1.陌生人不要加，哪怕只是单向好友，也不要加。。。如果是自己的朋友要社，那只能认栽，没别的。

2.如果密保被重置，请让朋友投诉你的QQ，暂时冻结你的QQ使用权，可以拖延下时间，以免出更大的问题。

3.尽量不要用QQ邮箱做你的密保邮箱，我乌云账号被沦陷，就是个好例子。

其他的说完了，顺便补充句，今天经过这个事情后，我第一时间清理了QQ上不常聊，以及最近新加的所有人，全部拉黑了，以后此QQ不会再加任何人了，不管是谁，认识不认识，一律不加，有事打电话就成。。。

好了，说完了，洗洗睡了，33乌币就算是买个思路了，用行内话来说，就当是做了次等保测评了，值了。