用户
搜索
  • TA的每日心情

    2017-9-6 11:25
  • 签到天数: 5 天

    连续签到: 1 天

    [LV.2]偶尔看看

    i春秋签约作家

    Rank: 7Rank: 7Rank: 7

    1

    主题

    12

    帖子

    271

    魔法币
    收听
    0
    粉丝
    2
    注册时间
    2016-1-20

    i春秋签约作者

    发表于 2017-6-16 11:41:42 287021
    本帖最后由 Adrian 于 2017-7-5 09:59 编辑

    作者介绍:Adrian,补天精英白帽子,i 春秋签约作家

    擅长于web安全攻防、社会工程学

    微博:网络工程师Adrian


    0x00
    ╮(╯▽╰)╭这个日期我记得非常清楚,正是最近很火爆的struts2-045远程命令执行漏洞爆发的这一天。这天的下午我正在疯狂的寻找被新漏洞影响的厂商系统~跟着师傅们了解完漏洞原理后,准备狠狠的往补天刷一波045~。但是这个时候接到家人的电话,得知家人在接可爱的小侄子放学时,手机被偷!?接着人生第一次拨通110竟是在手机被偷的情况下。
    原本想先用iPhone的定位功能,但发现小偷将手机关机了(这也是定位功能的一个缺陷啊),于是我立马停下了手中的事,先让手机进入丢失模式吧~
    图片 1.png


    报警以后,在调取监控的时候发现当时是幼儿园放学,人非常的多。而且显然监控并没有拍清楚小偷的相貌,得手后匆匆进入小巷离开了。那么仅有一个衣着特征,怎么去找这个小偷呢?简直大海捞针。在公安局做完笔录以后,陷入了沉思…


    0x01
    好几天过去了,警察并没有给我们抓获小偷的消息。但这个时候,事情有了转机!之前提到了,我把手机设置进入了丢失模式,所以小偷在重新打开手机并接入网络连接的时候,会自动进入丢失锁定模式,需要机主的iCloud账号登录才能解开。所以小偷换着号码,多次给我家人发来了钓鱼短信(包含账号钓鱼链接)。
    2.png


    0x02
    小偷显然在尝试套取Apple ID账号密码,发送号码:008526****8634/ 00852***48809,发送的手机号码是网络虚拟号码,查询将会无从下手 但是得到了两个钓鱼网站的域名。

    短信内容如图:
    E01E7127-B8B0-45CD-81C3-BBD1914F3A59.png



    从两条短信中分别得到两个钓鱼域名
    111.png



    ·域名ss***c.cn/m***zc.cn
    ·注册商:成都西维数码科技有限公司
    ·注册人:刘艳梅
    ·创建时间2017年03月09日
    ·过期时间2018年03月09日
    ·邮箱:yum*****@163.com
    ·域名ip:43.***.**0.125

    通过ping命令可判断出两次的站点都属于同一个服务器,只是域名不同。
    1.png


    0x03
    得到域名地址以后,开始收集数据,分析钓鱼网站的配置信息~
    v2-ebeab66dd9c3d40d96a0730a18919289_b.png

    尝试寻找并进入后台~不磨叽,直接爆破后台地址(事先准备好asp环境的后台目录字典)
    v2-b24752bf2bd0e4a174991e8fb00b6962_r.png


    显然小偷还使用的是默认地址manager 所以在这个寻找后台的过程中还是比较顺利的,字典仅仅跑了1分钟
    得到后台地址
    后台的登录系统是其他的CMS改写的,测试后发现不存在直接致命的漏洞,只能继续从社工和信息方面下手了。接下来就是想办法怎么进入后台了。
    v2-e9a1186dfd44b32f6f0b9885ea5c3eef_r.png


    注:图为联系域名商
    经过社工思维的交谈和语言魅力的轮番说服~客服给出了域名注册时的QQ和电话信息。
    5373CBCB-8F7A-4D2D-9CC2-59715236A1EA.png



    收集信息以后,果断可以利用字典生成工具:crunch它可以灵活的定制自己的密码字典
    v2-7ab67094b486b02e26c7bd3b691bd408_r.png



    根据输入的信息工具会自动排列 定制出适合的字典库(自己也需要加入一些高危常用密码信息作为库存的 哈哈~)~用于账号密码的爆破。
    半小时以后验证成功 得到账号:admin 密码:admin0667@



    0x04
    进入后台以后,好戏才真正上演。各位师傅且听我慢慢道来~先从IP下手,但在登录日志里,除了我自己的IP并没有发现其他人的?难道是小偷登录以后每次都会清除记录吗?或者系统设置了某一段时间长度内自动清理?我有了这些设想。
    8.png


    那我该怎么去寻找小偷的IP地址呢?于是我开始回到主页面,利用小脚本对钓鱼页面的登录口进行批量填窗提交~hhhhh在大概500狂轰滥炸的多次提交后,我想小偷应该也该收到了500多封邮件提示~


    思路:大家都了解钓鱼网站的收取信息的回馈规则。只要一有信息填入,另一端小偷的邮箱或者手机号码就会收到网站的提示(类似于“xxx上钩了”)。根据心里分析,小偷在收到这样的提示的情况下,会立马登录网站后台查看数据或者信息,马上对被偷手机进行解锁。
    于是我早就登录了小偷的账号,在后台的操作日志页面等待小偷上线。果然,他上线清理后台这500多条没用的账号密码信息了。估计他还在郁闷这是谁给刷了这么多垃圾…而我已经悄悄的和他在同一个后台,从他的删除行为中拿到了他的IP地址~小偷哪里逃!
    9.png




    p:171.**.***.24联通的,但稍微懂一点通信的师傅,不难看出这是Wi-Fi的ip地址,所以利用之前在论坛看见的一些网络ip定位网站,绝对是不能精确定位的 只能定位出大概的范围。因为在一个区域运营商发射信号的基站有很多~这个时候你需要认识一个联通小哥,或者寻求警察叔叔的授权协助了~(提醒大家,这个是在报案并且登记了的情况下的操作)
    10.png
       
    ip定位地址:商***大厦 南昌市**区**大道135号 (就这样窝藏地点出来了!)
    11.png



    0x05

    看我如何让小偷“裸奔”

    利用后台继续拿到密码登录小偷的邮箱、真实QQ、微信ID、手机号码…
    来到后台的邮件SMTP设定~
    12.png

    虽然邮箱密码是加密显示的
    但是可以从页面包含的password value里得到邮箱密码
    13.png

    邮箱:jia******[email]i@163.com[/email] 密码: abc1314*0

    邮箱登录成功
    14.png


    里面的钓鱼账号邮件还真不少,高达上千封
    15.png
    通过邮件往来继续得到小偷的同伙或朋友的信息
    85****[email]576@qq.com[/email]
    240*****[email]99@qq.com[/email]
    1467****[email]83@qq.com[/email]
    其中还包含真实照片
    16.png


    继续得到QQ:85****576/微信/手机号码:132******08(手机号码为社工套取)

    下面给大家还原手机号码的社工~
    其实最开始是添加qq的,但是他很警惕,加好友后第一句直接问:上家是谁?
    我半分钟没有回答上来,直接被删了。所以没来得及截图
    19.png 20.png
    有了这次的经验,知道了他被加好友的问法。开始搜索他的微信,但这次我选择让一名女生和我配合去添加他的好友,假装购买手机。
    22.png


    显然小偷输在了这场社工学的战斗中。虽然很警惕是否有上家介绍,但是并没有去核实伪造截图中的上家是否和他有过交易,而是直接选择透露信息。

    甚至同意了后来发送坐标的要求
    23.png



    0x06
    法网恢恢疏而不漏~
    从小偷给出的交易坐标来看,他也并没有把自己的定位直接发在了直接查出来的商贸城大厦,但选择了对面的全季酒店。只是一个对面的距离,更加确认了我之前从ip到地址的获取的正确性。
    24.png

    现在就该把信息提供给警察叔叔了,得到警察叔叔的处理解决。接下来就可以和小偷约定地点交易,警察实施抓捕了~被偷的手机自然物归原主。

    这时,我们来进行一个全程回顾
    30.png



    所以我们得相信,正义会迟到,但,永远不会缺席。
    你的指尖有改变世界的力量 <(▰˘◡˘▰)>
    这,就是一场网络力量和现实罪恶的斗争。



    延伸内容:

    关于有趣又充满幻象的社会工程学技术以及本文中提到的技术经历
    该文章内容已在i 春秋学院的课程中以视频课程的模式录制发布

    视频课程链接:https://www.ichunqiu.com/course/58591

    欢迎大家进行拓展学习。记得留下你们的评论哦~
    983B4C91-2FCC-47F4-91EB-A5848A95E50A.png



    最后:本文内容为作者原创 未经许可,严禁转载!   

    评分

    参与人数 3魔法币 +207 收起 理由
    yyyxy + 200 感谢发布原创作品,i春秋论坛因你更精彩!.
    610100 + 3 大神好厉害!
    猫吃 + 4 小白觉得可以以这个为副业了吧..

    查看全部评分

    TTZZ 发表于 2017-6-17 09:50
    我的妈,简直就是电影史诗级的操作,话说怎么直接判断是wifi的我还没看懂呢 ...

    关于有趣又充满幻象的社会工程学技术以及本文中提到的技术经历
    该文章内容已在i 春秋学院的课程中以视频课程的模式录制发布

    视频课程链接:https://www.ichunqiu.com/course/58591

    欢迎大家进行拓展学习。记得留下你们的评论哦~
    使用道具 举报 回复
    610100 发表于 2017-6-17 15:39
    膜拜!简直是电影里的情节!太厉害了!

    关于有趣又充满幻象的社会工程学技术以及本文中提到的技术经历
    该文章内容已在i 春秋学院的课程中以视频课程的模式录制发布

    视频课程链接:https://www.ichunqiu.com/course/58591

    欢迎大家进行拓展学习。记得留下你们的评论哦~

    评分

    参与人数 1魔法币 +3 收起 理由
    610100 + 3 感谢你的分享,i春秋论坛有你更精彩!.

    查看全部评分

    使用道具 举报 回复
    soulgg 发表于 2017-6-16 17:17
    dalao 这个社工和渗透玩的, 直扣6....

    关于有趣又充满幻象的社会工程学技术以及本文中提到的技术经历
    该文章内容已在i 春秋学院的课程中以视频课程的模式录制发布

    视频课程链接:https://www.ichunqiu.com/course/58591

    欢迎大家进行拓展学习。记得留下你们的评论哦~
    使用道具 举报 回复
    云吹雪 发表于 2017-6-20 12:25
    666 密码是怎么猜出来的

    关于有趣又充满幻象的社会工程学技术以及本文中提到的技术经历
    该文章内容已在i 春秋学院的课程中以视频课程的模式录制发布

    视频课程链接:https://www.ichunqiu.com/course/58591

    欢迎大家进行拓展学习。记得留下你们的评论哦~
    使用道具 举报 回复
    wyldlmu 发表于 2017-6-16 23:05
    膜拜,好东西要多看几遍

    关于有趣又充满幻象的社会工程学技术以及本文中提到的技术经历
    该文章内容已在i 春秋学院的课程中以视频课程的模式录制发布

    视频课程链接:https://www.ichunqiu.com/course/58591

    欢迎大家进行拓展学习。记得留下你们的评论哦~
    使用道具 举报 回复

    关于有趣又充满幻象的社会工程学技术以及本文中提到的技术经历
    该文章内容已在i 春秋学院的课程中以视频课程的模式录制发布

    视频课程链接:https://www.ichunqiu.com/course/58591

    欢迎大家进行拓展学习。记得留下你们的评论哦~
    使用道具 举报 回复
    发表于 2017-6-16 11:59:17
    666大佬送给你
    做自己的自己 和平年代的炮灰,战争年代的爆破鬼才
    使用道具 举报 回复
    发表于 2017-6-16 12:05:04
    6666666666666666学习了
    使用道具 举报 回复
    6666 学习了
    看起来好像好好玩
    附带一句 麻麻再也不用担心我的手机会被偷了
    没看到的世界,不代表不存在。
    使用道具 举报 回复
    发表于 2017-6-16 16:37:41
    66666向大佬学习
    使用道具 举报 回复
    发表于 2017-6-16 17:17:45
    dalao 这个社工和渗透玩的, 直扣6....
    使用道具 举报 回复
    发表于 2017-6-16 19:01:08
    好久没看到这样的文章了  ,写的很好
    使用道具 举报 回复
    发表于 2017-6-16 19:01:16
    好像在哪里看到过这篇文章
    使用道具 举报 回复
    发表于 2017-6-16 20:22:59
    膜拜表哥,虽然我之前好像在fb还是知乎看到过
    使用道具 举报 回复
    膜拜膜拜!!!!!!!
    使用道具 举报 回复
    发表于 2017-6-16 21:52:42
    卧槽牛逼,网络+现实的攻击,难道这就是传说中的黑客?!
    使用道具 举报 回复
    好像在哪见过这个文章+1
    使用道具 举报 回复
    发表于 2017-6-16 23:05:41
    膜拜,好东西要多看几遍
    使用道具 举报 回复
    发表于 2017-6-17 09:31:43
    棒噢
    来啊~快活啊~
    使用道具 举报 回复
    发表于 2017-6-17 09:50:15
    我的妈,简直就是电影史诗级的操作,话说怎么直接判断是wifi的我还没看懂呢
    使用道具 举报 回复
    12下一页
    发新帖
    您需要登录后才可以回帖 登录 | 立即注册