用户
搜索
  • TA的每日心情

    2018-7-8 19:32
  • 签到天数: 114 天

    连续签到: 1 天

    [LV.6]常住居民II

    i春秋作家

    春秋认证√作家团颜值担当

    Rank: 7Rank: 7Rank: 7

    19

    主题

    390

    帖子

    3586

    魔法币
    收听
    1
    粉丝
    46
    注册时间
    2017-6-5

    i春秋认证秦春秋文阁i春秋签约作者

    onls辜釉 i春秋作家 春秋认证√作家团颜值担当 i春秋认证 秦 春秋文阁 i春秋签约作者 楼主
    发表于 2017-8-2 13:25:38 648493533
    本帖最后由 onls辜釉 于 2017-8-23 08:36 编辑

    背景楼主就职某第三方支付公司,对HTML、Javascript、C++、PHP、Java、Python等等都非精通,找工作全靠颜值死撑,所以你们叫我帅(cai)逼就好了,不靠技术吃饭  hohoho~
    ps:我司也涉及了一些P2P网贷的业务,于是乎当我今天清理手机未读信息看到这样一条短信时:
    1.png
    出于求(xian)知(de)欲(dan)望(teng),我去搜了下这个网站:


    2.png


    做得倒是有模有样,可是我特么并没有申请过借款啊,我这样子像是差钱的人吗!?像吗?!...好吧确实挺像的..

    既然来都来了那就看看吧,在网站客服QQ空间看到这样的信息:
    3.png

    我ri,这几家P2P都是我司的业务,他却打着校园易贷|网易助力的旗号到别家拿钱,(之前有出现过骗贷),不能忍(正义的白帽该出手了)。


    4.png

    先注册个帐号,打入敌军内部。(连手机验证码都不要,随便注册手机号,骗贷你也要走点心吧大兄弟)

    5.png

    噗!所有所有信息存放在第三方数据库,确保信息泄露...老哥稳,墙都不扶就服你。


    像看到这样的玩意第一反应就是XSS了:


    6.png

    槐蛋哥就是蛋总他哥的意思,..说错了,是蛋总是我表哥的意思。

    在QQ邮箱这插入XSS平台地址(已经转换成短网址了),这只是截图,其实当时我基本每一项都插入了JS外链(瞎J*插,也不用管他输出在什么标签里。不然怎么叫盲打呢),插完提交成功。


    7.png


    这里为了加快进度,添加客服好友,并且进行催促,让他早点看到我的资料。(截图是我后来其他号去加,还原聊天补的,他已经把我拉黑了。)




    8.png

    ---------------------------------------------------
    9.png


    从他发的截图里可以看到后台结构,而且我填的资料显示正常,XSS代码很有可能已经执行了。到XSS平台看看:

    10.png

    已经打到cookie了,后台地址:http://www.xxxxx.com/aachulihhjj ... an.php?username=xxx
    11.png


    访问那个地址其实只能看到订单管理那一个页面,需要去掉后面的东西,直接访问http://www.xxxxx.com/aachulihhjjhdda/(这后台地址我也是服)


    卧槽,里面太多信息了,包括学信网帐号密码、手持身份证、淘宝帐号密码、JD、等等等等、其实就连正规的P2P也不会要这么多信息,好可怕..果然是确保信息泄漏..


    12.png

    -----------------------------

    13.png
    ----------------------------------------------


    按表哥们的剧本,现在就应该是继续找洞提权拿服务器,删库、丢锁机病毒进去还世界和平了。




    ,我是谁?i春秋号称最强嘴盾的Onls(自己吹的),啥本身没有,就爱扯皮逗乐,提不了权那我就用“禁术”---急火攻心之术:

    14.png
    15.png

    16.png

    17.png

    18.png

    19.png

    20.png

    21.png

    22.png

    23.png



    黑心老板暴毙身亡,全剧终。

    后话:

    游客,如果您要查看本帖隐藏内容请回复






    评分

    参与人数 10魔法币 +91 收起 理由
    Francese + 3 鼓励转贴优秀软件安全工具和文档!.
    rosectow + 5 感谢你的分享,i春秋论坛有你更精彩!.
    weimingze + 5 鼓励转贴优秀软件安全工具和文档!.
    dasdasd + 3
    哈哈哈先生 + 5 一万个感谢 我们小白需要你这种老司机!.
    猫吃 + 2 老表,我想知道全文
    z7788520 + 5 i春秋最强嘴盾--Onls
    sn0w + 10 感谢你的分享,i春秋论坛有你更精彩!.
    机械鸥 + 3 哈哈哈 看完后我快爱上你了
    屌丝绅士 + 50 感谢发布原创作品,i春秋论坛因你更精彩!.

    查看全部评分

    本帖被以下淘专辑推荐:

    信息安全菜鸟/社会主义接班人
    发表于 2017-8-17 22:26:00
    文章奖励介绍及评分标准:http://bbs.ichunqiu.com/thread-7869-1-1.html,如有疑问请加QQ:286894635!
    奖金
    点评
    50
    很有意思的文章,打击邪恶势力人人有责。。


    一位特爱收藏Supreme的大哥哥....
    使用道具 举报 回复
    校园易贷创始人:马东东
    姓名:马越东
    性 别:男
    出生日期:1992年07月
    原居住地址:山东省济南市
    后居住地址:哈尔滨
    经历总结:
         高中就读于山东济南市最好的高中省实验。以高分进入半年之后,退学回家。后就读于滨州中学,镇北中学,最终放弃学业回家创业。
         起先选择物流行业,因家庭亲人从事物流行业,后个人原因放弃物流行业,转战餐饮,开过物流点,开过餐饮店,做过公寓出租。2013年放弃原来做过的行业,来到哈尔滨创建了哈尔滨乐川科技,做企业微信营销,并且取得了一定的成绩,后将企业交与自己的创业合伙人,自己从事互联网金融,创办分期嗨同学的大学生分期网站,主要针对东北地区大学生,在哈尔滨地区谈合作找投资,后黑龙江龙银投资公司与其合作,做好大学生分期行业,并取得了一定成绩,后来社会上其他分期网站,凭借资金,渠道的优势迅速进入东北地区,马东东再度转型从事大学生贷款业务,在2014年中旬创办校园易贷。
    合伙人评价:
       1:“个性秉直,率真,想法别具一格”。
       2:“不注重细节,多变”。
       3:“喜欢闷在屋子里不出来”。
    员工评价:
         “好老板,什么都不管,员工很自由,很快乐”

    个人梦想:
         采访马东东时其回答。
          “创造一个快乐,向上,有价值的公司”
          “把校园易贷做好,做成最好的大学生贷款网站”
    小编评价:
          马总一个有想法,大胆的创业者身上很普通,有的时候感觉过于普通,
    其为人亲切,热爱唱歌,喜欢互动。有想法是,又很安静,很难找到人。马东作为一个大学生互联网金融公司的老板,确实不易。
       马东东在接受采访时:多次提到,校园易贷资金不足,希望借这个采访的机会,吸引更多的贷款人了解他,找到他。因为哈尔滨这边投资氛围没有那么强。所以导致起步很慢。
                                                               哈工程实习记者  王鹏
    使用道具 举报 回复
    onls辜釉 i春秋作家 春秋认证√作家团颜值担当 i春秋认证 秦 春秋文阁 i春秋签约作者
    推荐
    发表于 2017-8-3 13:22:58
    黑桃6 发表于 2017-8-3 11:23
    就应该吧这种网站脱裤,跑路,这种网站的人好**

    最近发现这种网站是真多,我还看了有一个山寨P2P,里面光这些身份信息就2W多条,而且主机都被人日穿了,全是后门,还直接放了脱库保存的数据在盘里,替那些学生担心。
    信息安全菜鸟/社会主义接班人
    使用道具 举报 回复
    给,回复拿好……嗳……你这人……别跪啊……一个回复而已……男人膝下有黄金啊……你要干什么啊?嗳!别拉我裤链啊……你这人……你怎么这样?别……啊……啊……嗯……啊嗯……喔……啊……不行……你……听我说……啊……一个……回复……喔……不算什么……啊啊啊……快停下……啊……别……啊啊……要丢了……喔……别吞!脏……快吐出来……卧槽……唉……何必呢?
    使用道具 举报 回复
    onls辜釉 i春秋作家 春秋认证√作家团颜值担当 i春秋认证 秦 春秋文阁 i春秋签约作者
    推荐
    发表于 2017-8-2 14:15:52
    弹指江山 发表于 2017-8-2 13:59
    XSS平台用不好,不知道是不是盲打的不够盲

    一般资料里的XSS直接插js外链标签就行了,都放在表格里显示的,其他地方的可能要多试试各种标签闭合, 总结一句话就是日站靠运气
    信息安全菜鸟/社会主义接班人
    使用道具 举报 回复
    onls辜釉 发表于 2017-8-3 13:22
    最近发现这种网站是真多,我还看了有一个山寨P2P,里面光这些身份信息就2W多条,而且主机都被人日穿了, ...

    应该把这个网站的老板找出来,交给警察。。。。。再删库---->>跑路。。。。。
    使用道具 举报 回复
    看全文                                    
    使用道具 举报 回复
    可以的                                   
    使用道具 举报 回复
    onls辜釉 i春秋作家 春秋认证√作家团颜值担当 i春秋认证 秦 春秋文阁 i春秋签约作者
    推荐
    发表于 2017-8-3 13:19:45
    CodeManCN 发表于 2017-8-3 12:09
    sdf打网贷黑中介】-Onls聊安全之路见不平一顿骂 [修改]
    高级模式 BColorImageLinkQuoteCodeSmilies@朋友

    这回复,我就很不开心了
    信息安全菜鸟/社会主义接班人
    使用道具 举报 回复
    onls辜釉 i春秋作家 春秋认证√作家团颜值担当 i春秋认证 秦 春秋文阁 i春秋签约作者
    10#
    发表于 2017-8-2 13:56:48
    好无爱啊
    信息安全菜鸟/社会主义接班人
    使用道具 举报 回复
    XSS平台用不好,不知道是不是盲打的不够盲
    使用道具 举报 回复
    发表于 2017-8-2 14:05:23
    wwwwwweeeeeee
    使用道具 举报 回复
    发表于 2017-8-2 14:07:59
    表哥真的666
    使用道具 举报 回复
    发表于 2017-8-2 14:10:41
    本帖最后由 wyldlmu 于 2017-8-2 14:14 编辑

    火遁?还是心遁,奥,难不成是嘴遁,,直接报警遇到这种的,跟他废啥话
    使用道具 举报 回复
    onls辜釉 i春秋作家 春秋认证√作家团颜值担当 i春秋认证 秦 春秋文阁 i春秋签约作者
    15#
    发表于 2017-8-2 14:13:40
    wyldlmu 发表于 2017-8-2 14:10
    火遁?还是心遁,奥,难不成是嘴遁

    要不要跟表哥学习 嘴盾
    信息安全菜鸟/社会主义接班人
    使用道具 举报 回复
    发表于 2017-8-2 14:14:36
    onls辜釉 发表于 2017-8-2 14:13
    要不要跟表哥学习 嘴盾

    好啊好啊,我要学
    使用道具 举报 回复
    发表于 2017-8-2 14:16:56
    黑心老板暴毙
    使用道具 举报 回复
    好东西,谢谢楼主!!!!!!!!!!!!!
    使用道具 举报 回复
    发表于 2017-8-2 14:25:57
    “总结一句话就是日站靠运气”是吗?我不信
    使用道具 举报 回复
    发表于 2017-8-2 14:33:19
    过程很刺激 我要学习
    使用道具 举报 回复
    发表于 2017-8-2 14:35:21
    看这666,厉害了,又涨见识了
    使用道具 举报 回复
    onls辜釉 i春秋作家 春秋认证√作家团颜值担当 i春秋认证 秦 春秋文阁 i春秋签约作者
    22#
    发表于 2017-8-2 14:36:27
    衣其 发表于 2017-8-2 14:25
    “总结一句话就是日站靠运气”是吗?我不信

    我是说我这菜逼日站靠运气
    信息安全菜鸟/社会主义接班人
    使用道具 举报 回复
    您需要登录后才可以回帖 登录 | 立即注册