TX推出webQQ 2.0

[铁血飘零客]

http://web2.qq.com

[qts000]

警惕 WebQQ2.0 的 Gmail 钓鱼
原文请见：http://www.pcbeta.com/viewnews-14730.html
WebQQ 2.0 上线，腾讯又多了款重量级的应用，但是用过程中发现其 Gmail 模块存在钓鱼的嫌疑。当使用 Chrome 访问其 Gmail 模块时提示为诱骗网站。
展开这个页面的 iframe 地址，发现是在 qq.com 域下https://web2.qq.com/cgi/gmail/gmail.html
但页面的形式与 Google 的风格一致，非常能让用户混淆这就是 Google 自家的页面。

查看其源代码，发现并没有提交到 Google 的痕迹。

然后我们查看其相关的 gmail.js（https://web2.qq.com/cgi/gmail/gmail.js），发现其中有段代码为

var option = {retype:3,callback:"parent.qqweb.app.gmail.getListMail"}; if (u != null && p != null) { option.u = u; // Google 帐户用户名 option.p = p; // Google 帐户密码 } formSend( GMAIL_SERVER_DOMAIN + "cgi/qqweb/gmail.do",{method : "POST", data : option} );

这段应该就是往 GMAIL_SERVER_DOMAIN POST 用户名和密码登录了，那么 GMAIL_SERVER_DOMAIN 的值是什么呢？就在本文件的第 14 行

var GMAIL_SERVER_DOMAIN = 'https://web2.qq.com/';

也就是说，你的 Gmail 用户名和密码实际上是提交到了

https://web2.qq.com/cgi/qqweb/gmail.do

这个地址。

那么，作为个技术人，我不禁想问：“腾讯，你想干什么？！” 同时建议已经使用过该模块的用户尽快更改您的 Google 帐号密码，并检查 Gmail 过滤器中有无可疑的项目。

PS，这次的 WebQQ2.0 放弃了 YUI，使用了名为 Jet 的 JavaScript 框架，对其感兴趣的可以关注。

UPDATE


该 URL 在 Firefox 中也已被人举报为恶意网站
该 Gmail 应用已经被撤下，对应的 JS 文件也已被删除

[思考者]

都神速之：

夏侯渊：吾善于千里袭人

[铁血飘零客]

我用FF登录不上，chrome很流畅

[阿依帝]

[remeber]

登陆不上。。。效果还不错。不知道从哪学的。。

[铁血飘零客]

为毛FF就是登录不上

[灵感点亮生活]

呵呵，可以用呀，效果不错，有点 ‘云’ 的样子！

[shallowlong]

挺好的呀~比1好用诶发觉~很好看的。用chrome登陆的

[chamqion]

还不错，都登上了，就是不习惯那样的桌面。

[小新啦]

很强大的东西啊

[wormtrojan]

额，linuxqq各种问题刚刚被我弄好，这个就出现了，天意。。。 。

[追疯少年]

挺强大的， 类是web OS

[sunningv]

[wormtrojan]

刚刚用了一下，确实很赞呀
一登录群列表就完整的出来了，不像老板，要等群一个一个的出现，这点非常好！
不过收发自定义表情还是不尽如人意，尤其是收自定义表情，还是有些显示不出来，不过也不能要求太多，毕竟数据都是经过二传的。。。
web2和linuxqq一起备着，linux的qq算是圆满了