菜鸟渗透某钓鱼网站

2014-11-07 19:03:12 53 7628 8


某日无聊,邮箱突然来了提示,打开如图

点击蓝色文字,跳转到一个页面,是一个仿腾讯的登录页面,要求你输入QQ号和密码,呵呵,也就是个钓鱼网站

反正也闲的没事,看看能不能拿下,防止更多人受骗

主站扫了下,没什么注入和上传,到是把后台给找到了。



尝试弱口令登录,admin,admin888什么的无果

想社工看看能不能查到什么资料,去whois了下网站,发现了这个



在土司扯蛋群里寻求帮助,在此感谢@0xcodede



在我满怀希望的心情下登录后台。。妈的登录失败

好吧,看看旁注可以拿下不(必应接口封了,t00ls旁注和御剑都不能用了,只能一个一个手工,求大牛推荐款工具)

旁站发现了个这个目标站,看着像Destoon


结果乌云是真爱。。


但是真的就这么简单吗?


尼玛这没审核什么东西都干不了。。

联系下客服让帮忙审核



无语了,看了下网站,得花钱才能发布信息,感觉乌云的exp没用。。蛋疼


继续看旁站,发现了一个公司站,一般这种站点洞子多,好拿

找到了个注入点,丢sqlmap里跑下  (论坛有篇相关文章:https://www.t00ls.net/thread-28384-1-1.html

先判断是不是有权限
语句sqlmap.py -u "www.xxoo.com" --is-dba



那我直接--os-shell

语句:sqlmap.py -u -"www.xxoo.com" --os-shell

能直接用cmd了,直接加用户吧





原来是内网。。传个lcx上去内网转发



尼玛又悲剧了,没免杀的,论坛哪个牛牛有免杀的LCX麻烦传我一份哈哈

-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
楼主终于成了大学狗了,吐司一直是楼主向往的圣地,希望管理能给我机会来吐司交流学习,另外文章没什么亮点,就是耐心和运气,求轻喷

关于作者

评论53次

要评论?请先  登录  或  注册