记一次钓鱼基站的渗透测试及木马分析

0x003 查明真相
急忙回到家中，打开电脑。。输入10086xx.com
看到以下↓

我随便输入一个11位的号码（如18888888888）。就提示182.5元，脚指头一猜就知道有问题...
钓鱼网站，呵呵，有点意思，钓我头上来了。
打开煤气点支烟，冷静了一下，心中已经有了思路！
钓鱼站一般都是很水的，很少看到很严谨的钓鱼站。。。一般都是其他的功能转去真正的10086
然后敏感功能才是不会转跳的，我就尝试了一下，点充值之类的，果然都转去10086.cn
那么能突破的地方就是不会转跳的兑换人民币功能了
如上图有一个直接兑换...好吧，兑换人民币去咯

0x004 渗透网站
兑换后我来到的这里，看了一下域名还在本域http://www.10086xxx.com。

显示的是填写兑换人民币收款信息，“人心不足蛇吞相，呵呵”就是贪婪引发的"钓鱼"
我随便填写了一下信息点下一步，发现有提示不符合规范~看来有做一个限制，姓名是什么字符
卡号是什么字符、手机字符长短多少位数之类的 。。。

审查元素，看看什么限制

Javascript限制（即JS）就想到了burpsuite抓改发送包~。。。。我耐心的把day.js这个文件代码全部看了一遍。
接着我发现没有对密码进行限制，也就是啥字符都可以..
丢了一个xss进去。。。等待ing...
随便输入一个目录看看报错的信息...
如下，被狗咬了一口.........

就想到我的xss可能要换一下转义了~换了一个转义再次丢xss进去 .....
继续手动输入目录/admin/
出现后台系统，钓鱼站一般都不会很严格，我就想验证一下，admin'

出现了，祭出SQLmap
sqlmap.py -u "http://xxxxx.cn/admin/login.asp" --data "username=admin*"
POST注入

跑一下

信息：access web：asp win
查看源码：
document.getElementById('username').value = ''; document.getElementById('password').value = ''; return false;}
username password
准备指定查询。。xss提示上线...

欺骗cookie进入之

值得一提的是：这个网站非常有意思，每当有鱼儿上钩的时候就会有铃声。

由于后台带了卡号密码，并且鱼儿很多。以及信用卡密码和那啥，影响太大。全程打码
什么？你以为这就完了？NONONO，继续！

0x005 孟闯虎穴
话说得到cookie进入后台.并且得到密码（见上图）我还想进一步的研究钓鱼网站的套路
我继续浏览着钓鱼站点
发现如下↓

一个弹出下载apk。。机智的我果断下载了...
下载后得到一个10086.apk
嗯套路还是很齐全的。
得到银行卡号，密码，手机，身份证。之后还要受害者下载一个木马安装。
这个木马我也猜到大概的功能，肯定就是进一步的获取手机短信验证码！！

0x006 木马逆向
想到逆向我就想起我大SSS论坛什么教程都有，什么工具都有。
没错，打开论坛，熟练登录帐号密码。搜索逆向apk
找到逆向的工具进行下载。
SSS论坛--致力于复现渗透过程/分享最真实的渗透技巧
配置java环境，逆向后存放文件位置就可以开始了...如下图↓

翻了一下目录在主程序代码看到了一个关键配置，如下↓

下面是配置163邮件发送的一些设置
类型 服务器名称 服务器地址 SSL协议端口号 非SSL协议端口号
收件服务器 POP pop.163.com 995 110
收件服务器 IMAP imap.163.com 993 143
发件服务器 SMTP smtp.163.com 465/994 25
看到这样的设置知道木马是发送邮件的了...里面一定有作者的邮箱！！！接着往下看
机智的我想到了搜索...其实这些想法是第二天才想起的，其中的弯路不说了，都是泪...
直接搜索字串符：const-string

0x007 木马功能

自带识别版本

贴不完上来，木马功能大概就是获取手机短信转发作者邮箱进行洗钱...

技术博客 http://www.95shell.com
新浪微博：weibo.com/SSS95zz
交流论坛：bbs.sssie.com
在线解密：md5.sssie.com
团队信息：team.sssie.com
补天团队：loudong.360.cn/team/info/id/619
人生如棋我愿为卒，行动虽慢但谁曾见我后退一步

那个xss转义是怎么样转的啊

强啊