用户
搜索
  • TA的每日心情
    无聊
    4 天前
  • 签到天数: 21 天

    连续签到: 1 天

    [LV.4]经常看看II

    i春秋签约作家

    春秋认证√作家团颜值担当

    Rank: 7Rank: 7Rank: 7

    7

    主题

    275

    帖子

    1626

    魔法币
    收听
    1
    粉丝
    19
    注册时间
    2017-6-5

    i春秋签约作者

    onls辜釉 i春秋签约作家 春秋认证√作家团颜值担当 i春秋签约作者 楼主
    发表于 2017-8-2 13:25:38 378404992
    本帖最后由 onls辜釉 于 2017-8-23 08:36 编辑

    背景楼主就职某第三方支付公司,对HTML、Javascript、C++、PHP、Java、Python等等都非精通,找工作全靠颜值死撑,所以你们叫我帅(cai)逼就好了,不靠技术吃饭  hohoho~
    ps:我司也涉及了一些P2P网贷的业务,于是乎当我今天清理手机未读信息看到这样一条短信时:
    1.png
    出于求(xian)知(de)欲(dan)望(teng),我去搜了下这个网站:


    2.png


    做得倒是有模有样,可是我特么并没有申请过借款啊,我这样子像是差钱的人吗!?像吗?!...好吧确实挺像的..

    既然来都来了那就看看吧,在网站客服QQ空间看到这样的信息:
    3.png

    我ri,这几家P2P都是我司的业务,他却打着校园易贷|网易助力的旗号到别家拿钱,(之前有出现过骗贷),不能忍(正义的白帽该出手了)。


    4.png

    先注册个帐号,打入敌军内部。(连手机验证码都不要,随便注册手机号,骗贷你也要走点心吧大兄弟)

    5.png

    噗!所有所有信息存放在第三方数据库,确保信息泄露...老哥稳,墙都不扶就服你。


    像看到这样的玩意第一反应就是XSS了:


    6.png

    槐蛋哥就是蛋总他哥的意思,..说错了,是蛋总是我表哥的意思。

    在QQ邮箱这插入XSS平台地址(已经转换成短网址了),这只是截图,其实当时我基本每一项都插入了JS外链(瞎J*插,也不用管他输出在什么标签里。不然怎么叫盲打呢),插完提交成功。


    7.png


    这里为了加快进度,添加客服好友,并且进行催促,让他早点看到我的资料。(截图是我后来其他号去加,还原聊天补的,他已经把我拉黑了。)




    8.png

    ---------------------------------------------------
    9.png


    从他发的截图里可以看到后台结构,而且我填的资料显示正常,XSS代码很有可能已经执行了。到XSS平台看看:

    10.png

    已经打到cookie了,后台地址:http://www.xxxxx.com/aachulihhjj ... an.php?username=xxx
    11.png


    访问那个地址其实只能看到订单管理那一个页面,需要去掉后面的东西,直接访问http://www.xxxxx.com/aachulihhjjhdda/(这后台地址我也是服)


    卧槽,里面太多信息了,包括学信网帐号密码、手持身份证、淘宝帐号密码、JD、等等等等、其实就连正规的P2P也不会要这么多信息,好可怕..果然是确保信息泄漏..


    12.png

    -----------------------------

    13.png
    ----------------------------------------------


    按表哥们的剧本,现在就应该是继续找洞提权拿服务器,删库、丢锁机病毒进去还世界和平了。




    ,我是谁?i春秋号称最强嘴盾的Onls(自己吹的),啥本身没有,就爱扯皮逗乐,提不了权那我就用“禁术”---急火攻心之术:

    14.png
    15.png

    16.png

    17.png

    18.png

    19.png

    20.png

    21.png

    22.png

    23.png



    黑心老板暴毙身亡,全剧终。

    后话:

    游客,如果您要查看本帖隐藏内容请回复






    评分

    参与人数 7魔法币 +78 收起 理由
    dasdasd + 3
    哈哈哈先生 + 5 一万个感谢 我们小白需要你这种老司机!.
    猫吃 + 2 老表,我想知道全文
    z7788520 + 5 i春秋最强嘴盾--Onls
    sn0w + 10 感谢你的分享,i春秋论坛有你更精彩!.
    机械鸥 + 3 哈哈哈 看完后我快爱上你了
    屌丝绅士 + 50 感谢发布原创作品,i春秋论坛因你更精彩!.

    查看全部评分

    本帖被以下淘专辑推荐:

    信息安全菜鸟/社会主义接班人
    阿甫哥哥 管理员 i春秋最帅男神-阿甫大哥哥 楚 核心白帽 i春秋签约作者 白帽传说 春秋游侠 秦 燕 魏
    来自 2#
    发表于 2017-8-17 22:26:00
    文章奖励介绍及评分标准:http://bbs.ichunqiu.com/thread-7869-1-1.html,如有疑问请加QQ:286894635!
    奖金
    点评
    50
    很有意思的文章,打击邪恶势力人人有责。。


    Time will give me the answer
    使用道具 举报 回复
    onls辜釉 i春秋签约作家 春秋认证√作家团颜值担当 i春秋签约作者
    推荐
    发表于 2017-8-3 13:22:58
    黑桃6 发表于 2017-8-3 11:23
    就应该吧这种网站脱裤,跑路,这种网站的人好**

    最近发现这种网站是真多,我还看了有一个山寨P2P,里面光这些身份信息就2W多条,而且主机都被人日穿了,全是后门,还直接放了脱库保存的数据在盘里,替那些学生担心。
    信息安全菜鸟/社会主义接班人
    使用道具 举报 回复
    onls辜釉 i春秋签约作家 春秋认证√作家团颜值担当 i春秋签约作者
    推荐
    发表于 2017-8-2 14:15:52
    弹指江山 发表于 2017-8-2 13:59
    XSS平台用不好,不知道是不是盲打的不够盲

    一般资料里的XSS直接插js外链标签就行了,都放在表格里显示的,其他地方的可能要多试试各种标签闭合, 总结一句话就是日站靠运气
    信息安全菜鸟/社会主义接班人
    使用道具 举报 回复
    onls辜釉 发表于 2017-8-3 13:22
    最近发现这种网站是真多,我还看了有一个山寨P2P,里面光这些身份信息就2W多条,而且主机都被人日穿了, ...

    应该把这个网站的老板找出来,交给警察。。。。。再删库---->>跑路。。。。。
    使用道具 举报 回复
    onls辜釉 i春秋签约作家 春秋认证√作家团颜值担当 i春秋签约作者
    推荐
    发表于 2017-8-3 13:19:45
    CodeManCN 发表于 2017-8-3 12:09
    sdf打网贷黑中介】-Onls聊安全之路见不平一顿骂 [修改]
    高级模式 BColorImageLinkQuoteCodeSmilies@朋友

    这回复,我就很不开心了
    信息安全菜鸟/社会主义接班人
    使用道具 举报 回复
    onls辜釉 来自手机 i春秋签约作家 春秋认证√作家团颜值担当 i春秋签约作者
    推荐
    发表于 2017-8-4 01:26:19
    s耀阳97 发表于 2017-8-3 16:34
    楼主真是爱玩,要我就一波社工他,看他嘴上还能逞能不

    不想理这种**  就想逗逗他。要不是信息安全法。就全给他删了
    使用道具 举报 回复
    onls辜釉 来自手机 i春秋签约作家 春秋认证√作家团颜值担当 i春秋签约作者
    推荐
    发表于 2017-8-4 01:25:12
    机械鸥 发表于 2017-8-3 16:49
    确保信息泄露。。。     还有后面客服的表演。。。   应该获得奥斯卡笑死人奖。 ...

    24k纯智障  
    使用道具 举报 回复
    onls辜釉 i春秋签约作家 春秋认证√作家团颜值担当 i春秋签约作者
    8#
    发表于 2017-8-2 13:56:48
    好无爱啊
    信息安全菜鸟/社会主义接班人
    使用道具 举报 回复
    XSS平台用不好,不知道是不是盲打的不够盲
    使用道具 举报 回复
    发表于 2017-8-2 14:05:23
    wwwwwweeeeeee
    使用道具 举报 回复
    发表于 2017-8-2 14:07:59
    表哥真的666
    使用道具 举报 回复
    发表于 2017-8-2 14:10:41
    本帖最后由 wyldlmu 于 2017-8-2 14:14 编辑

    火遁?还是心遁,奥,难不成是嘴遁,,直接报警遇到这种的,跟他废啥话
    使用道具 举报 回复
    onls辜釉 i春秋签约作家 春秋认证√作家团颜值担当 i春秋签约作者
    13#
    发表于 2017-8-2 14:13:40
    wyldlmu 发表于 2017-8-2 14:10
    火遁?还是心遁,奥,难不成是嘴遁

    要不要跟表哥学习 嘴盾
    信息安全菜鸟/社会主义接班人
    使用道具 举报 回复
    发表于 2017-8-2 14:14:36
    onls辜釉 发表于 2017-8-2 14:13
    要不要跟表哥学习 嘴盾

    好啊好啊,我要学
    使用道具 举报 回复
    发表于 2017-8-2 14:16:56
    黑心老板暴毙
    使用道具 举报 回复
    好东西,谢谢楼主!!!!!!!!!!!!!
    使用道具 举报 回复
    发表于 2017-8-2 14:25:57
    “总结一句话就是日站靠运气”是吗?我不信
    使用道具 举报 回复
    发表于 2017-8-2 14:33:19
    过程很刺激 我要学习
    使用道具 举报 回复
    发表于 2017-8-2 14:35:21
    看这666,厉害了,又涨见识了
    使用道具 举报 回复
    onls辜釉 i春秋签约作家 春秋认证√作家团颜值担当 i春秋签约作者
    20#
    发表于 2017-8-2 14:36:27
    衣其 发表于 2017-8-2 14:25
    “总结一句话就是日站靠运气”是吗?我不信

    我是说我这菜逼日站靠运气
    信息安全菜鸟/社会主义接班人
    使用道具 举报 回复
    您需要登录后才可以回帖 登录 | 立即注册