对某钓鱼网站的一次失败渗透分析

无聊正玩着手机QQ空间，发现来了一条消息，就打开看了下。

 

看见有人@了我一下 标题挺吸引人的，呵呵...有点常识经验的一看

就知道不是什么好事的，而后点开看了下

 

能够发现此号@了不少和这个号有联系的QQ好友，估计我这位朋友的号被盗用了，才会发这些带有钓鱼网站的说说。

若是是无经验的，没有任何安全常识的朋友，还觉得是真的，后果想必你们都知道。。

 

根据提示扫描二维码......

 

 

扫描二维码后，手机跳转到这个页面，提示要你登陆QQ！注意啦，这里是重点！手机跟电脑不同，不显示网站地址，

这个登陆界面实际上是假的！并非QQ官方的登陆地址，这就是所谓网络钓鱼，障眼法而已，因为手机不显示网站地址，

若是对那些没有安全意识的朋友来讲，就会觉得真的，输入真的QQ号和密码登陆，后果就是你的QQ号密码被黑客盗用。

下边咱们来一步一步分析....

先把这张二维码图片保存到电脑上，去解码，解码后能够看到一个如图中一个地址，

能够看见这个地址并非原始的网站地址，看上去像一个缩短后的网站地址。

 

在把这个缩短后的短网站还原成真实的网址，如上图所示，这就是为何咱们手机扫描二维码，

而后在接着----跳转-----的缘由。

用电脑打开真实的地址后能够看见和手机访问的界面是同样的，

先用Nmap扫一下收集一下信息，发现是linux的系统，80端口和8888开放的，80端口是用Nginx ，8888端口用的Apache

访问了一下8888端口看了下

发现了一个登陆后台，而后去百度搜索了一下有过漏洞，但不是这个版本，

默认密码什么的都试了 ，都不行，而后换路子

扫描网站目录文件看看，，

发现有phpmyadmin  admin lib 等等可疑目录

 

尝试登陆phpmyadmin ，各类弱口令常识无果，，发现版本是2.11.11.3，

尝试百度搜索此版本漏洞，配合MSF漏洞什么的 失败...

 

访问lib目录 看见了一堆文件，而后各类怀疑。。。。都是一些配置文件，根据名称应该就是钓鱼网站里边的源码文件，

而后在联想到，，，swf的文件会不会是网马，会不会是利用Hacking Team发布的flash漏洞编写的，而后本身下载来后

尝试反编译，看能不能获得源码，找出突破点，然而并无什么乱用....

 

而后访问这个地址，应该就是钓鱼网站的收信后台了把，仍是尝试各类弱口令什么的，爆破，

貌似像这种带有验证码的什么用burp爆破啊，麻烦那位大大科普科普，

 

而后转战到前台钓鱼界面查看源码，想插XSS，技术过低没法绕过，前端源码里各类javascript函数过滤，而后分析....也不知道分析的对不对，

在用审查元素改改什么的，失败.......

最后...旁注，用Maltego收集信息社工，域名反查，社工裤，失败.....无法子咯，放弃日站.....

这次渗透就到这里了，文章没什么亮点，见谅见谅，就到这吧，但愿能帮到一些像我这样的新手...