魚站追蹤記

i春秋版主：Sp4ce

 

事情的原由很簡單，一哥們在I春秋韓羣發了個連接

 

閒的沒事幹看了下

這個釣魚用到了鳳凰網的一個XSS漏洞，而因爲鳳凰網是騰訊白名單，因此該連接在發出時是綠標【騰訊被友商坑慘了】

因爲該魚站對訪問者的UA和Refer作了檢測 因此找一個表哥要了他的iPhone X的UA

因爲chrome在訪問帶有<script> 標籤的頁面會被攔截

所以換用360「安全」瀏覽器

首先安裝魔變插件，而後添加UA

Mozilla/5.0 (iPhone; CPU iPhone OS 11_3 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Mobile/15E302 QQ/7.5.8.422 V1_IPH_SQ_7.5.8_1_APP_A Pixel/1125 Core/UIWebView Device/Apple(iPhone X) NetType/4G QBWebViewType/1

而後設置代理服務器

而後開始抓包分析 看看到底在哪一步出現了釣魚網站

因爲魚站用了鳳凰網的反射型XSS漏洞，所以第一個請求是鳳凰網的

羣友發的連接是https://m.so.com/tjump?u=//pvp.qq.com%40url.cn/5NCxnuh&?_wv=3FiWJqlkhtY

通過url解碼是https://m.so.com/tjump?u=//pvp.qq.com@url.cn/5NCxnuh&?_wv=3FiWJqlkhtY

這裏須要講下URL中的@做用

對比下下面2個地址欄

@符號在URL中會將前面內容無效化（我的理解爲註釋，好比圖一，前面的pvp.qq.com就被X掉了），所以圖一會訪問百度而不是王者農藥官網

所以，整個流程以下

最終魚站爲：

fhuanxi.aa49b.cn/view.php

該頁面沒法直接訪問，須要更改UA和加refer

又利用了hao123的跳轉漏洞：

跳到了美團的一個連接

s3.meituan.net/v1/mss_beb8568dae034a508fb2d11abbf9920e/zhaopin/social%2Ftemp%2Fc91aff92f99df7b726dee1fdcdbee986

該連接通過請求後會302到t.cn的短連接

http://t.cn/R1UYRSJ通過請求後會回傳一個JS文件

 

JS文件通過本地搭建測試爲釣魚網站源碼【實際爲HTML代碼通過URLencode後的】

網頁代碼通過解碼格式化後發現了點好玩的

首先是http://huanxi.aa49b.cn/template/js/pvp.js文件

這個文件對iPhone設備作過處理，防止用戶認出是釣魚網站而且對UA作了判斷，不是移動設備直接跳到pvp.qq.com/m

可是在安卓上就很敗筆

【安卓設備，SM-G9300】

【蘋果設備：iPhone X】

另外在蘋果設備上若是直接訪問美團的連接會出現下圖

【設備：iPhone 6】

這也解釋了爲何魚站大費周折利用了N多跳轉漏洞來進行釣魚的緣由

另外美團的頁面好像能加載外部JS

接着對HTML代碼分析，發現了抽獎JShttp://www.bzggbl.com.cn/template/js/page.js




以及一個未知的json.php

和登陸頁面的JS

http://huanxi.aa49b.cn/js/login.js

該頁面一樣爲urlencode後的html，解碼後爲真正釣QQ的頁面

釣魚網站的後臺通過幾分鐘掃出來了

http://huanxi.aa49b.cn/admin__/login.php

先小結下

本次跳轉連接涉及到的廠商均互爲白名單

涉及到廠商及URL跳轉數量

hao123【現屬於百度】1個
360搜索1個
騰訊1個
美團1個
鳳凰網1個【鳳凰網全站均存在不一樣程度的URL跳轉漏洞並屢次被利用，但願貴司安所有看到後能自查】

隨後動用某平臺進行了威脅情報反查
域名對應IP：185.243.243.48

域名whios反查：

註冊者        韓琴 （相關域名 498 個）

郵箱        2070169918@qq.com （相關域名 499 個）

可視化：

魚站的滲透工做隨後與一些表哥展開

@美團點評SRC @360SRC @百度SRC  @騰訊SRC 

魚站用到的文件打包好了，查看原文便可下載。

截至2018年6月4日 11:20 魚站已暫停。。

i春秋推出優享會員制，開通會員能夠免費暢享多類課程、實驗、CTF賽題等付費內容，並可享有包括會員日專屬福利、就業推薦等多種特權福利，更多活動詳情可點擊：https://bbs.ichunqiu.com/thread-40795-1-1.html瞭解哦~