渗透测试|记一次xss注入闲鱼诈骗网站到主机上线再到信息收集的过程

TRY 1,560 5

诗无尽头 - 唯有自由才能触摸虚无的自我

来自:一言


前言

距离上次搞闲鱼诈骗网站已经过去20多天了。这20多天里,搞了很多的钓鱼站,类似什么黑咖的[aru_19](已经下载到全站源码了,不过不会审计,有兴趣的大佬可以邮件联系我获取。),不过搞这些钓鱼站根本没用,相关部门也没进行管理。骗子们依然逍遥法外,所以最近依然在搞钓鱼网站,然后今天有了一些发现。就写下这篇文章,写的很乱。也是记录一下。希望能够提高大家的警惕性。[aru_15]

目标:也是从闲鱼APP上获取到的链接[aru_13]

xss注入钓鱼

详细过程就不说了,可以去看我上篇文章。不过这次的xss注入里加入了flash弹窗钓鱼。效果如下:点这里查看详细过程

渗透测试|记一次xss注入闲鱼诈骗网站到主机上线再到信息收集的过程

一个简单的xss弹窗跳转代码:

alert("您的FLASH版本过低,尝试升级后访问该页面!");
window.location.href="填你的flash页面";

flash钓鱼

钓鱼页面:

渗透测试|记一次xss注入闲鱼诈骗网站到主机上线再到信息收集的过程

当然这个页面是我们自己伪造的,下载的文件是利用自解压程序捆绑了木马的(捆绑教程等下写),也是可以正常安装flash的。[aru_36]

等待主机上线

插入xss后,就耐心的等待骗子上线。但是有点警惕性的应该都不会上当的啦[aru_34],不过运气不错,我们这个骗子好像警惕性有点低。[aru_88],哈哈哈。稍微等待了一会后,xss平台返回了一个管理员的cookie,然后再查看远控,主机已经成功上线!然后在xss平台里把弹窗代码取消掉。

xss返回如下:

渗透测试|记一次xss注入闲鱼诈骗网站到主机上线再到信息收集的过程

主机上线:(进行相关取证)

渗透测试|记一次xss注入闲鱼诈骗网站到主机上线再到信息收集的过程

骗子桌面QQ截图:

渗透测试|记一次xss注入闲鱼诈骗网站到主机上线再到信息收集的过程

渗透测试|记一次xss注入闲鱼诈骗网站到主机上线再到信息收集的过程

(进行相关录屏录音取证,有兴趣的朋友可以找我获取[aru_66])

然后该骗子的电脑里没什么有用的信息,就一堆QQ号。。然后决定从诈骗网站中获取更多信息。

信息收集

网站后台:http://xxx.cn/Surplus.php   (扫描出来的)

利用之前xss返回来的cookie进行登录。

利用burp修改cookie进行登录,成功进入后台。

渗透测试|记一次xss注入闲鱼诈骗网站到主机上线再到信息收集的过程

进入后台后发现不是管理员权限??[aru_93],原来是一个小弟?

渗透测试|记一次xss注入闲鱼诈骗网站到主机上线再到信息收集的过程

得想办法搞到管理员权限。然后通过查看cookie,发现可能存在越权访问。

渗透测试|记一次xss注入闲鱼诈骗网站到主机上线再到信息收集的过程

利用修改后的cookie进行登录,运气不错,成功用管理员权限进入后台!哈哈哈。[aru_97]

查看管理员密码:发现管理员密码貌似是一个QQ号[aru_94]???QQ是:2438xxxx(打码了)

渗透测试|记一次xss注入闲鱼诈骗网站到主机上线再到信息收集的过程

哈哈哈,有了QQ号就好办了。然后通过百度查询他QQ号的相关信息。

渗透测试|记一次xss注入闲鱼诈骗网站到主机上线再到信息收集的过程

贴吧账号:

渗透测试|记一次xss注入闲鱼诈骗网站到主机上线再到信息收集的过程

还有微信什么的就不发出来了。希望大佬们能出手,让这些骗子去吃过年牢饭吧,哈哈哈。[aru_112],写的比较乱,目前证据也挺乱的,有这个骗子用过的QQ等,还有骗子骗人的过程录屏以及录音(摄像头打开黑屏~~)。但是还是无从下手的感觉,我太菜了。[aru_141]奥利给!

目前以及把相关信息提交给警方了~~~

渗透测试|记一次xss注入闲鱼诈骗网站到主机上线再到信息收集的过程

一些证据下载

部分QQ信息

提取码:3uys(部分录像)

还有一些截屏截图录音明天放出~~ps:现在还在录屏中

发表评论 取消回复
表情 图片 链接 代码

  1. shmily
    shmily Lv 1

    腻害!

  2. 小米博客

    英雄就是向着枪口毫无畏惧的走过去,纵然前面有千军万马也要勇往直前英雄就是,虽千万人,吾往矣 ——《十宗罪》

  3. 鸽王
    鸽王 Lv 1

    为遇一人入红尘,人去我亦去,此生不留尘。

  4. 一木
    一木 Lv 1

    哎呀,想学习学习咋办[aru_12]

    • 落幕
      落幕 站长

      @一木去吧去吧,百度欢迎你。