只看楼主网 >  百度贴吧 >  qq三国 >

(技术贴) 记一次入侵QQ三国钓鱼网站的过程



楼主 长脖子的鱼丶  发布于 2020-10-28 11:01:00 +0800 CST  
先发一张结果图，可以看出今天依然有受害者输入QQ账号和密码

楼主 长脖子的鱼丶  发布于 2020-10-28 11:02:00 +0800 CST  
背景：本人从事网络安全工作，以前小学玩过QQ三国，于9月24号回归，回归至今发现三国内的诈骗相当猖狂，对于萌新的游戏环境相当恶劣，三国外各种钓鱼邮件层出不穷，遂一直想找机会打压下他们的嚣张气焰。。

楼主 长脖子的鱼丶  发布于 2020-10-28 11:04:00 +0800 CST  
1.这天突然在群里发现有人发送这个链接，我点了进去：）

楼主 长脖子的鱼丶  发布于 2020-10-28 11:06:00 +0800 CST  
一看就是钓鱼网站，吧友们的智商应该不会去输入QQ号密码吧^_^

楼主 长脖子的鱼丶  发布于 2020-10-28 11:07:00 +0800 CST  
呜呜呜 没人我太监了哈

楼主 长脖子的鱼丶  发布于 2020-10-28 11:11:00 +0800 CST  
3.然后我们开始代码审计工作（枯燥无味，就是看源码找漏洞，在有一处地方发现了似乎存在登陆输入储存逻辑漏洞

楼主 长脖子的鱼丶  发布于 2020-10-28 11:13:00 +0800 CST  
4.重点来了，我们拦截网站的请求数据生成请求数据包，然后在SQLmap进行盲注攻击


楼主 长脖子的鱼丶  发布于 2020-10-28 11:15:00 +0800 CST  
把在sqlmap中引入数据包开始sql（数据库）注入


楼主 长脖子的鱼丶  发布于 2020-10-28 11:18:00 +0800 CST  
5.按照数据库的查询规则，依次对数据库中的 数据库名、表名、列明进行盲注


下面是表名，可以看见user或者admin中就储存的是网站管理用户名密码


楼主 长脖子的鱼丶  发布于 2020-10-28 11:23:00 +0800 CST  
附上一张楼主的前东家照片
现在在这里

楼主 长脖子的鱼丶  发布于 2020-10-28 11:26:00 +0800 CST  
是的 骗子克隆的网站

楼主 长脖子的鱼丶  发布于 2020-10-28 11:32:00 +0800 CST  
6.在历经一个多小时的测试后，终于得到的密码！


楼主 长脖子的鱼丶  发布于 2020-10-28 11:43:00 +0800 CST  
7.我们要找到网站后台登陆地址，在看了网站源码后可以发现其登陆页面在这里


楼主 长脖子的鱼丶  发布于 2020-10-28 11:46:00 +0800 CST  
成功登陆！



楼主 长脖子的鱼丶  发布于 2020-10-28 11:49:00 +0800 CST  
等下 我吃午饭

楼主 长脖子的鱼丶  发布于 2020-10-28 11:51:00 +0800 CST  
有没有抚琴的呀 找个卡100结拜或者伴侣 俺现在95

楼主 长脖子的鱼丶  发布于 2020-10-28 11:56:00 +0800 CST  
吃完饭回来啦～

楼主 长脖子的鱼丶  发布于 2020-10-28 12:25:00 +0800 CST  
8.该网站有账户登录日志，可以看到网站管理员登陆的IP地址

楼主 长脖子的鱼丶  发布于 2020-10-28 12:26:00 +0800 CST  
9.通过对IP地址的检索发现，主要登陆地如下



楼主 长脖子的鱼丶  发布于 2020-10-28 12:30:00 +0800 CST  

楼主：长脖子的鱼丶

字数：1123字

发表时间：2020-10-28 19:01:00 +0800 CST

更新时间：2021-01-08 10:46:32 +0800 CST

评论数：992条评论

帖子来源：百度贴吧  访问原帖

 

热门帖子

随机列表

大家在看