菜鸟渗透某钓鱼网站

2014-11-07 19:03:12 57 11063 8


某日无聊，邮箱突然来了提示，打开如图

点击蓝色文字，跳转到一个页面，是一个仿腾讯的登录页面，要求你输入QQ号和密码，呵呵，也就是个钓鱼网站

反正也闲的没事，看看能不能拿下，防止更多人受骗

主站扫了下，没什么注入和上传，到是把后台给找到了。



尝试弱口令登录，admin，admin888什么的无果

想社工看看能不能查到什么资料，去whois了下网站，发现了这个



在土司扯蛋群里寻求帮助，在此感谢@0xcodede



在我满怀希望的心情下登录后台。。妈的登录失败

好吧，看看旁注可以拿下不（必应接口封了，t00ls旁注和御剑都不能用了，只能一个一个手工，求大牛推荐款工具）

旁站发现了个这个目标站，看着像Destoon


结果乌云是真爱。。


但是真的就这么简单吗？


尼玛这没审核什么东西都干不了。。

联系下客服让帮忙审核



无语了，看了下网站，得花钱才能发布信息，感觉乌云的exp没用。。蛋疼


继续看旁站，发现了一个公司站，一般这种站点洞子多，好拿

找到了个注入点，丢sqlmap里跑下  （论坛有篇相关文章：https://www.t00ls.com/thread-28384-1-1.html）

先判断是不是有权限
语句sqlmap.py -u "www.xxoo.com" --is-dba



那我直接--os-shell

语句：sqlmap.py -u -"www.xxoo.com" --os-shell

能直接用cmd了，直接加用户吧





原来是内网。。传个lcx上去内网转发



尼玛又悲剧了，没免杀的，论坛哪个牛牛有免杀的LCX麻烦传我一份哈哈

-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
楼主终于成了大学狗了，吐司一直是楼主向往的圣地，希望管理能给我机会来吐司交流学习，另外文章没什么亮点，就是耐心和运气，求轻喷
类别 渗透测试

关于作者

Maracle8篇文章335篇回复

Maracle
57

评论57次

要评论？请先  登录  或  注册