果聊连载之粉丝被果聊勒索老李出手必办之

首页 » Web安全 » 渗透测试 » 果聊连载之粉丝被果聊勒索老李出手必办之

之前发的两篇文章,我不知道影响这么大,很多的公众号粉丝告诉我自己有着同样的经历,但只能任人宰割,一次又一次的被勒索。
但由于工作繁忙,我也不可能去帮助每一个人,希望大家能见谅,也提醒大家 遇到这种情况请先报警。
作为网络安全从业人员,我们应该去做一些力所能及的事情,每帮助一个受害者 我都感到非常的骄傲 我把我所掌握的技术用在了正路上, 我帮助了需要帮助的人,这很快乐。这也应该是正义白帽子该做的事情。

本篇文章的起因:公众号粉丝添加了我的微信,告诉我他的朋友被骗了2999。 好 你关注了我 帮!

果聊连载之粉丝被果聊勒索老李出手必办之
果聊连载之粉丝被果聊勒索老李出手必办之

因为上午我没有收到APP,所以我是直接去测试了WEB
后台的样子 框架和页面 与之前碰到的不一样。

果聊连载之粉丝被果聊勒索老李出手必办之

刚好中午下班 没有验证码 就放在BURP跑了 吃完饭回来有几个长度不一样的

果聊连载之粉丝被果聊勒索老李出手必办之

并且登录成功了,当然这是弱口令 只不过用户名是自己收集的。

果聊连载之粉丝被果聊勒索老李出手必办之

刚开始只知道这个站为诈骗网站,以为是传销盘,结果进入一看 还是原来通讯录这些东西
但是权限是比较低的 没有上传 没有数据交互 已知宝塔面板
四处点了一下看到有个修改名字的位置 因为前端是纯Html的所以测试了一下XSS

果聊连载之粉丝被果聊勒索老李出手必办之

当然 如果前端没有被过滤的话 一定是存在XSS的
果聊连载之粉丝被果聊勒索老李出手必办之
于是打开了自己的XSS平台
访问测试了一下

果聊连载之粉丝被果聊勒索老李出手必办之

剩下的就只有等了
第二天早上 我又打开了自己的XSS平台 发现新增两条COOKIE 以为是管理员的 替换sessid依然是原用户的

果聊连载之粉丝被果聊勒索老李出手必办之

当然 还获取了内网IP

果聊连载之粉丝被果聊勒索老李出手必办之

由于权限很小,我能看到的也只是当前用户 获取到的数据。 这时候就开始琢磨能否越个权 看看其他的
在当前用户的信息导出页面 可以查看到是先获取ID然后进行下载
果聊连载之粉丝被果聊勒索老李出手必办之
那么久比较简单了
果聊连载之粉丝被果聊勒索老李出手必办之
说实话…打码也是一种苦力活…..

果聊连载之粉丝被果聊勒索老李出手必办之

删除操作也是根据ID参数 那这样的话 也是可以来任意删除的

果聊连载之粉丝被果聊勒索老李出手必办之

统计了一下 大概2269个用户的通讯录、短信

果聊连载之粉丝被果聊勒索老李出手必办之

在大概下午2点钟的时候,我收到了APP
果聊连载之粉丝被果聊勒索老李出手必办之
安装后看了一下 界面简直花里胡哨 居然还有验证码功能

果聊连载之粉丝被果聊勒索老李出手必办之

果聊连载之粉丝被果聊勒索老李出手必办之
发了个验证码(无限发送)
果聊连载之粉丝被果聊勒索老李出手必办之
在接码平台查到验证码后 继续抓包 此时可以看到我的通讯录 我大爷三叔的手机号 已经准备上传了。
当然 这都是假的~
果聊连载之粉丝被果聊勒索老李出手必办之
果聊连载之粉丝被果聊勒索老李出手必办之
上传完毕以后 APP会无情的告诉你:
果聊连载之粉丝被果聊勒索老李出手必办之
这个时候再返回平台后台 就可以看到了
果聊连载之粉丝被果聊勒索老李出手必办之
所以 该平台的流程基本可以摸清楚
总管理员开通多个用户设置一机一码机制(一个手机号生成一个码子,不可重复使用)上钩后果聊一对一完事勒索
接下来要做的事情:
先短信无限发包耗光它;继续搜集整理证据移交给警察叔叔
另外说出来大伙可能不信…
果聊连载之粉丝被果聊勒索老李出手必办之
XSS获取到的IP:106.x.x.x 这次又是 云南省 电信

公众号:F11Team 欢迎交流、转载
果聊连载之粉丝被果聊勒索老李出手必办之

免责声明:本站所提供工具、技术文章,仅供技术学习交流、请勿用于非法行为,请遵守相关法律规定,否则后果自负。作者:administrator, 转载或复制请以 超链接形式 并注明出处 大老李的Blog|渗透测试论坛|红蓝对抗|大型Web安全问答社区
原文地址:《果聊连载之粉丝被果聊勒索老李出手必办之》 发布于2020-08-06

分享到:
赞(2) 打赏 生成海报

评论 抢沙发

评论前必须登录!

  注册



长按图片转发给朋友

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏

关于渗透测试入门到进阶教学
后期的系列课程、问答以及工具、思路分享将会在星球发布
切换注册

登录

忘记密码 ?

切换登录

注册