用户
搜索

威胁情报-生存在SRC平台中的刷钱秘籍

2017-9-18 10:57| 发布者: 坏蛋| 查看: 3906| 评论: 0|原作者: Vulkey_Chen

摘要: 看见标题进来的朋友们如果不知道什么是SRC,那我告诉你SRC=Security Response Center(安全响应中心)。通俗的来讲,其实就是大家伙赚外快的地方(赚的多or少,还是要看厂商的尿性)。可能有的人还不清楚,那举个例子 ...
看见标题进来的朋友们如果不知道什么是SRC,那我告诉你SRC=Security Response Center(安全响应中心)。通俗的来讲,其实就是大家伙赚外快的地方(赚的多or少,还是要看厂商的尿性)。可能有的人还不清楚,那举个例子,例如TSRC就是腾讯(国内) 安全(良心) 响应(厂商) 中心(之一)。其平台就是收腾讯旗下所有网站(包括本身)的漏洞,然后给你对应的Bounty~

进入正题,什么是威胁情报呢?
可能大家去搜索下就知道了,可那些我认为基本上是扯淡。
一句话:威胁情报,就是对这个厂商现在 and 未来有害有威胁的某个已经开始的攻击事件、某个即将开始的攻击事件..(废话一堆,大家见谅)

那我们(外人)想要获取威胁情报可以采取什么操作?
这里其实可以建立定向厂商的威胁情报收集系统(说的这么高大上,实际操作很lowB)

威胁情报源头
通讯软件:

0.png
这些群可谓是情报来源之一,我们来看看他们平时都干什么:

卖网站权限:
1.png

卖数据:
2.png

找人拿站(还是政府站):
3.png

在通讯软件这一块收集定向厂商的威胁情报是很简单的 使用QQ机器人协议监控所有的群聊天内容,进行关键词规则筛选(有趣的看到下面一幕):
4.png

2.秘密通道
例如deep web这类网站,这里就不一一例举了。


3.厂商特性定向收集
假设这里我们要收集腾讯的威胁情报,那其特性的地方在于经常出BUG

现在搜索引擎很多,我们可以利用这些平台进行数据分析,然后在做威胁情报处理。
我们可以巧妙的使用语法进行威胁情报收集:
5.png

这些都是老Bug了,我们可以根据QQ活动的尿性分析出其活动经常性出现Bug,而这些Bug也造成了另一条产业链(其实也有些是薅羊毛),这些产业链被称之为(娱乐圈,非明星的娱乐圈),就例如之前的QQ刷钻等等。

在这里可以找一些QQ娱乐网进行监控:

这里以某刀网为例,我们可以根据其站点的分区模块功能进行监控。

6.png

那其实确实通过这些监控赚了不少钱:

7.png

其金币比例是1:5 也就是通过两天的时候收集这些情报赚了1275元~

以上是一些小思路,其实在很多SRC也实践过了。


4.闲来没事怼怼钓鱼站

之前朋友发了一个钓鱼网站:
8.png
通过一些技术手段进入了后台:
9.png
10.jpg

腾讯流行的手游游戏 这个钓鱼网站都有类似的活动网址钓鱼。

已经提交:

10.png

那其实我一直在跟踪这个团伙,目前发现其又开始搞钓鱼了。。。

这样一个月下来,其实能收益很多。

最后想说的就是,从威胁情报深入对其研究,然后再进行漏洞挖掘更是爽歪歪:

11.png

12.png
还有很多省略...

只是思路分享,不喜勿喷(怼、讽刺)!

鲜花
鲜花
握手
握手
雷人
雷人
路过
路过
鸡蛋
鸡蛋 (1)

刚表态过的朋友 (1 人)