渗透某裸聊诈骗团队 一举拿下服务器

admin 2020年9月7日11:02:42未分类评论692 views1450字阅读4分50秒阅读模式

渗透某裸聊诈骗团队 一举拿下服务器

文章来源:酒仙桥六号部队

事情经过

和我一起合租的室友喜欢玩微信摇一摇,QQ附近人啥。我劝他别信这些,都是骗人的。他告诉我,你不懂,我相信总有一天会摇到属于我的那个“她”。终于在某年某月某日,我的室友终于摇到了他口中所说的那个“她”,在和那个“她”聊了一段时间后,我的室友见识到了社会的残酷。他告诉我自己被勒索了,对方给他发了一张他手机通讯录截图,威胁他说不转钱,就把他和妹子“luo聊”的视频发给通讯录上面的人

关键聊天记录:

渗透某裸聊诈骗团队 一举拿下服务器


渗透目标

在模拟器安装好APP,打开APP后会获取通讯录和短信权限,一般人会直接允许获取权限,接着就是直接让我们用手机号进行登录。

渗透某裸聊诈骗团队 一举拿下服务器

我随便输入一个手机号和邀请码,发现点击登录没反应,于是开启burpsuite进行抓包,发现点了登录后已经向服务器发送请求。

渗透某裸聊诈骗团队 一举拿下服务器

直接访问域名,看见熟悉的路径,一猜应该是thinkphp框架。

渗透某裸聊诈骗团队 一举拿下服务器

让其报错,果然猜的没错,得到thinkphp版本为5.0.5。

渗透某裸聊诈骗团队 一举拿下服务器

直接用RCE漏洞getshell,不得不说,搞这种勒索的安全意识有点差。

渗透某裸聊诈骗团队 一举拿下服务器

AntSword连接成功。

渗透某裸聊诈骗团队 一举拿下服务器

拿到数据库密码,支持外连,连上数据库后拿到管理员密码哈希和管理员登录IP地址。

渗透某裸聊诈骗团队 一举拿下服务器

看了下是40位加密的哈希没解开,dump下网站源码,查看一下登录代码长啥样。查看登录代码发现调用makepass函数。

渗透某裸聊诈骗团队 一举拿下服务器

找到makepass函数,知道了加密方法后我们生成一个自己的密码,修改原数据库密码,登录成功后再给他修改回去。

渗透某裸聊诈骗团队 一举拿下服务器

经过一番折腾,终于看到后台长啥样了,中招的用户看来不少,每几分钟我刷新一下就发现会增加好几个受害者。

渗透某裸聊诈骗团队 一举拿下服务器

获取受害者手机通讯录。

渗透某裸聊诈骗团队 一举拿下服务器

获取受害者手机短信记录。

渗透某裸聊诈骗团队 一举拿下服务器

找到我室友的信息,然后删掉。

收集了下服务器信息,得知是宝塔,提权服务器失败,一遇到搭建了宝塔的服务器就提不下来,于是想到直接钓管理员个人PC,因为我们有了shell,直接在文件里面添加代码。

渗透某裸聊诈骗团队 一举拿下服务器

这里使用FLASH钓鱼,只要管理员一登录就会显示FLASH版本过低,更新FLASH,跳转到我们准备好的钓鱼页面,诱导管理员下载提前准备好的flashplayerpp_install_cn.exe安装文件,免杀啥的都已经搞好,就等管理员上钩。

渗透某裸聊诈骗团队 一举拿下服务器

没等多久,管理员上线了,在浏览桌面的时候发现1个BT.txt文件,查看一下发现是BT的登录地址,还有网站后台登录密码。

渗透某裸聊诈骗团队 一举拿下服务器

利用获取的密码成功登录BT。

渗透某裸聊诈骗团队 一举拿下服务器

因为BT直接root权限运行,所以BT计划任务反弹直接获取的就是root权限。

渗透某裸聊诈骗团队 一举拿下服务器

NC监听12345端口,稍等片刻,成功获取服务器权限。

渗透某裸聊诈骗团队 一举拿下服务器


尾声

此类案件一直频繁发生,小编百度了一下,中招的特别多。

分析作案手法:

1.寻找受害人群,以单身男性为目标,因为中招几率较高。

2.主动添加你的QQ,然后主动和你视频裸聊,没多久,她真的会发给你视频,男同胞由于在荷尔蒙的影响下,肯定会接的,然后你的手机画面中,会出现一个女孩揉胸顿足的画面,他会让你露脸和你的私密地方,她的诈骗在这里就已经正式开始了。

3.这个时候他已经录了视频,录完了以后,她会直接挂掉。然后发你一个“app”,说她在上面直播,这个时候,她会要求你安装app去加个关注。此时你只要安装了APP,你手机通讯录就全泄露了。

4.骗子有了你的裸聊视频,你的电话,你手机通讯录的好友电话等。

5.开始威胁你,说要你转账才删除自己的裸聊视频。第一次他会说转100删除视频,视频删了以后,说转300删除一个你的通讯录的手机号,这就是一个无底洞,你要是转了就永远陷进去出不来了。

渗透某裸聊诈骗团队 一举拿下服务器


推荐文章++++

渗透某裸聊诈骗团队 一举拿下服务器

*渗透实战 | 简单的拿下项目的root权限

*渗透测试学习路线


渗透某裸聊诈骗团队 一举拿下服务器

渗透某裸聊诈骗团队 一举拿下服务器

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2020年9月7日11:02:42
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  渗透某裸聊诈骗团队 一举拿下服务器 http://cn-sec.com/archives/122144.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: