偶遇一個釣魚網站,於是就簡單玩了一下...

前言:這篇文章不是像評論區的某些 dalao 所想的那樣是來炫技的,更多的是來給大家科普一些實用的滲透工具和方法,我相信不是所有的人都用過文中提到的這些方法。如果你覺得文章沒有達到你要求的深度,完全可以不看,直接走人,真心沒有必要故意留下噁心人的評論,顯示你自己多麼多麼牛逼。謝謝~)

剛才在知乎上看到一篇文章《你的QQ號是這麼被偷走的!》,但是文章只是簡單提到了一個偽造的 LOL 站點,嗯,就是這個【uvu.cc/ixMJ】,這明顯是一個經過縮短鏈接處理的網站,打開後跳轉到這個真實網址【http://mfspfgp.top】,頁面是下面這樣的:

點擊登錄彈出一個對話框,讓輸入QQ號和密碼,隨便輸入了一個進去,居然都可以登錄,看來是一個簡單盜號的網站無疑咯。

我很好奇的是,現在人們的安全意識這麼高,這麼低級的盜號網站還能騙到人嗎?

算了,不管了,習慣性打開瀏覽器的開發者工具,先來看看這個盜號的 POST 過程。找到了,POST 到這個地址:mfspfgp.top/lollove.php ,參數只有兩個:name 和 pass。

有了 POST 的鏈接和參數,就可以先來玩一下了,首先使用 Python 偽造瀏覽器頭,生成隨機的 QQ 號和密碼,然後利用 requests 來循環 POST 垃圾數據到對方的伺服器,畢竟主要目的是警示一下網站管理員,數據量就少點吧,10000差不多了,而且 IP 代理和多線程並發都懶得加了。

代碼跑起來了,非常鼓勵大家(尤其新手)採用類似手段給這個站點注入點垃圾信息,我估計釣魚站長看到資料庫中的這些垃圾數據,而且來自很多的 IP 地址,心理應該是崩潰的。

好了,就讓它繼續跑著吧,下面來看看能不能挖掘些其他的東西。

:這個釣魚網站獲取到的賬號密碼不一定就寫入資料庫,而且寫入資料庫後也不一定有頁面進行顯示出來,所以 XSS 的難度很大。而且網站也有可能是通過發郵件或者寫入文本等方式進行保存數據,現在郵箱系統更新補丁很快,感覺 XSS 也不好弄。評論中有人說很輕鬆就可以 XSS 的,煩請告知具體的實現方法,非常感謝!)

先 PING 一下這個域名(mfspfgp.top),得到伺服器的 IP 地址(103.98.114.75)。

查了一下這個地址,是個香港的伺服器,也難怪,這樣不備案的域名也只敢掛在外面的伺服器上了。

之後查了一下這個域名的 whois 信息,得到一個 QQ 郵箱(2030199508@qq.com)和一個手機號(15036363265),當然這兩個聯繫方式也不一定是真的。

用 QQ 搜了一下這個 QQ 號(2030199508),顯示是一個江西吉安的少年,而且他的 QQ 空間是開放的,進去看了一下,也沒有發現什麼有價值的東西,只看出這個小兄弟喜歡玩英雄聯盟和王者榮耀。

在搜索引擎上檢索這個 QQ 號以及對應的 QQ 郵箱也沒有找到任何有價值的信息,所以,上面這個 QQ 號的主人應該不是釣魚網站的主人,很有可能是被這個網站盜號了。

在微信里搜索了一下這個手機號(15036363265),顯示地區是河南洛陽,而且他的微信頭像應該是他本人了。但是我不能確定他就是網站的所有者,所以就不放他的照片了。

之後,利用郵箱反查工具,查了一下這個郵箱還註冊了哪些網站,結果找出 9 個,發現其中有 6 個可以正常訪問。

這 6 個可以訪問的網址分別是:http://fjkskda.top 、http://jligyts.top 、http://pfdqlql.top 、http://yiqilin.top 、http://zykjgkd.top 、http://mfspfgp.top 。

對應三種形式的詐騙網頁,分別是剛才展示的【生日祝福】、【酷秀一夏】、【2017賽事正式開始】,後兩個頁面截圖分別如下:

這三種頁面的盜號方式全部一樣,所以順便將上面的程序對著其他的站點跑了一下,不用謝,我的名字叫雷鋒~

之後,將上面提到的網址全部 Ping 了一下,獲取了全部的 IP 地址,擇其中物理位置最詳細的那個 IP 來試試吧。

首先在 WhatWeb 裡面檢索一下這個 IP 地址,即可知道這個網站採用的是 nginx 1.8.1 伺服器,使用的是 5.5.38 版本的 PHP。

然後用 nmap 掃了一下埠和運行的服務,發現開放的埠還是蠻多的。

PORT STATE SERVICE1/tcp open tcpmux3/tcp open compressnet4/tcp open unknown6/tcp open unknown7/tcp open echo9/tcp open discard...省略...61900/tcp open unknown62078/tcp open iphone-sync63331/tcp open unknown64623/tcp open unknown64680/tcp open unknown65000/tcp open unknown65129/tcp open unknown65389/tcp open unknown

(題外話:上面那個 62078 埠對應的 iphone-sync 服務感覺有點像蘋果同步啥的~)

然後用 w3af 來檢測網站的一些弱點,進而獲取一些重要信息。但是不知道怎麼回事,這次運行 w3af 出現了線程出錯,導致沒有順利完成掃描,所幸的是,掃出來一個敏感鏈接:103.27.176.227/OGeU3BGx

用瀏覽器訪問這個鏈接,顯示的是一個錯誤頁面,但是下面出現了一個關鍵信息:Powered by wdcp

點擊 wdcp 進入其官方頁面,看到了如下重要信息,這個網站還貼心地給出了一個體驗站點:http://demo.wdlinux.cn,大家可以去試試。

這樣就知道了上面那個釣魚網站的後台地址了:http://103.27.176.227:8080

另外,我剛才去那個體驗站點試了試,發現在修改密碼的時候,用戶名一直是 admin,修改不了,加上原來的登錄頁面沒有驗證碼,估計可以嘗試暴力破解。

用 sqlmap 掃了一下登錄表單的注入點,發現並沒有找到。

難道真的只有通過密碼庫來暴力破解了嗎?還在思考中。。。

結束語:使用 DDOS 等技術也許可以很輕鬆擊垮這樣的釣魚站點,但是站長分分鐘給你再造幾十個出來,這樣受害的人也許會更多。所以本篇文章的目的就是給那些入門的人科普一下常見的滲透工具,這樣當自己遇到類似情況的時候能有所幫助,只有讓更多的知友認識到釣魚網站的危險,學會利用上面的方法來保護自己的信息安全,這樣才有意義,你們說呢?)


推薦閱讀:

滲透測試想入門?看這個
不是管理者,如何有效串聯同事
闢謠:對越作戰典型謠言之1979年回撤階段損失很大

TAG:Python | 信息安全 | 互联网 |