QQ账号登陆第三方APP惊现安全漏洞

最近笔者清理手中使用的一台Android手机时，如果手机QQ账号完全退出登录，之前使用QQ账号授权登录的一些第三方应用程序(如新浪微博、欢乐豆酒等)可以通过QQ账号成功登录，这让笔者感到惊讶。不需要输入密码账户信息。

笔者起初怀疑可能是手机中的QQ及第三方APP版本问题，于是将其全部更新至最新版本，问题依旧。尝试使用其他Android手机也出现同样问题，可以肯定应该是授权QQ账号登陆第三方APP时安全认证不够严谨。

以下是通常情况下，我们在使用QQ后退出登录的几个步骤： 1. 点击头像，打开左侧边栏，进入“设置”，”账号管理“，再点击“退出当前账号”。

2. 在弹出的”退出当前账号"信息窗口，选"确认退出“。

3. 完成上述操作后，界面退回到登陆界面，输入框中默认填写有“账号”，“密码”。 4. 选中密码输入框，点击图上用红框标识的“x"，即可将此账号密码登陆密码删除。

5. 这里显示，密码已经删除了，下次登陆时需要重新输入密码。

以上的操作就是QQ提供的退出账号的操作。这样退出后貌似别人在没有密码的情况下是无法登陆你的QQ账号，但是对于使用QQ账号登陆的第三方APP，前面的操作形同虚设。即便在不知道QQ账号密码的情况下，依然可以自如地登陆第三方APP，当然前提是需要该账号曾经授权过这款应用。

下面使用QQ账号登陆新浪微博来演示一下上面说到的问题，注：以下测试时QQ已经按前面的方法退出了相应账号。 1. 打开新浪微博，选择“登陆”。

2. 选择页面下方的“QQ登陆”。

3. 可以看到该手机中曾授权过新浪微博的一些QQ账号列表，选择用来测试的这个QQ账号。 4. 你发现不用输入任何账号信息，甚至连密码也无需输入，已经显示“正在获取权限信息，请稍后...”。

5. 最后获取权限信息成功后，点击“登陆”，即可进入此QQ账号申请的微博。就看到这，你不是惊到了，这也太不安全了。笔者尝试测试了一些其他的QQ账号登陆授权APP，如欢乐斗地主，经常直播等也都可成功登陆。

6. 最后列出所用QQ,新浪微博的版本信息，可以看到所使用的都是官方最新版本的APP。

既然QQ退出账号存在这样的漏洞，有什么办法可以暂时回避一下这个漏洞带来的风险吗？办法是有的，也不是太复杂，主要目的就是要将账号信息从手机中删除，这样登陆授权过的第三方APP就因为无法获取到账号登陆授权信息而受到阻止。 【方法一】按前面的操作退出登录账号，在退回到登陆界面时，点击账号后面的小箭头，即红色框标识处。在弹出的“删除账号”信息窗口中，选择“删除”，即可将此账号信息从手机中删除。对于聊天记录可以按个人需求做取舍。


【方法二】在“账号”，“账号信息”页面，点击红框处“编辑”，账号列表进入编辑模式，点击账号前面的红色图标后，账号末尾显示“删除”图标，点击“删除”，即弹出确认窗口，根据个人需求，选择删除账号或连聊天记录一起删除。

【方法三】进入QQ设置,打开手势密码锁定功能。

最后，希望腾讯公司能够尽快解决这个问题，毕竟使用QQ账号登陆第三方应用非常普遍，如果因为安全问题，用户放弃使用QQ账号登陆第三方，而选择其他方式注册登录，势必也会影响到QQ业务的拓展。