最近没有水帖，就是在度假之余忙着这件事。
所有的信息已经打包交给了相关部门的朋友，为了信守承诺不影响后续的工作，我这里不会发具体的图，也不会泄露具体的信息。
发出来一是做一个科普警示，希望大家远离诈骗网站。二是对于基础渗透有一个简单的认知。
事情起因
一个妹子联络到我，说自己上周在一个网站输入了自己的AppleID后，导致了信息被盗，损失了若干。所以将链接发给我看看。
妹子从一个熟人那里收到了一个短信链接，说是自己的AppleID被封了，想要妹子帮助解封，丢了一个二维码过来。
本来我是没报什么希望的，因为这种诈骗网站基本上一周轮换一个域名，过一段时间后域名就不被解析了。
前期侦察
解析二维码，链接是一个短网址，随便找个网站解析还原出来。
xxxxx.xxxxx.work/
直接打开链接，是空白页面。所以挂上tor，用 User-Agent Switcher 把浏览器伪装成iOS上的Safari。
果然出现了画面。
再把浏览器伪装成安卓端的Chrome，会提示下载一个apk文件
假Apple登录页面
首先进行了以下
- 子域名扫描
- 目录扫描
- 参数枚举
- 服务器信息
发现没有什么可用的信息，毕竟是一次性域名，用完就扔的。
可以看的网页是有输入口的，因此尝试了常见的漏洞，比如sql注入和XSS，想进一步获取权限，发现都没有。不过可能是为了节省成本或者是伪装得更像，网站没有套任何WAF，这对于自动化测试节省了不少的时间。
往输入口灌入一些垃圾数据，也没得到什么进展。
暂时搁置。
恶意apk
在沙箱中分析后发现，是一个假冒的安卓Chrome，安装后会获取和读取短信权限，还有通讯录之类的敏感信息，上传到服务器。
同时会定时向通讯录中其他人发送钓鱼链接。结合妹子的描述，她确实是从认识的人那里收到的钓鱼短信。
既然有网络活动和服务器通信，那就有思路了。
由于apk没有任何的免杀和困难的混淆（丢进virustotal直接一片红），所以和选择逆向和分析。
具体过程和代码就不贴了，原因见这个帖子的开头。
整个包里只有一个域名信息，搜索了一下各种公开信息，确认是一个架设在海外的服务器，域名提供商也是海外，而且不是用一周就扔的一次性域名。（从时间和活动等因素来判断）
基本可以确认是诈骗犯控制的资产。 域名打码：xxxx.cc/
xxxx.cc
还是常规的侦察思路。
我猜测这个是诈骗犯用来收取和管理信息的，nmap扫了一下发现开了端口，所以按照这个思路来枚举有无后台。
在花了很多时间枚举子域名和目录后，发现了一个可以访问的后台。
访问后，发现需要密码。登录页面极其简陋，公开信息找不到任何特征，要么是自己写的，要么是买的小作坊的。
这就导致搜索不到什么公开的漏洞，贸然用一些方法获取cookie也会打草惊蛇。
为了不打草惊蛇，我选择用极慢极慢极慢的速度再次枚举。
最终发现了一个有意思的东西：xxxx.cc/这里打码/…/…/…/…/…/…/…/…/…/这里打码/tmp.zip
是一个tmp的打包文件，下载下来。
里面是乱七八糟的文档和php，用本地的搜索功能，发现了一个用户名Adminxxxx（后面打码）的用户名和密码。
后台
用这个账户密码登录，进了后台。
这里肯定不能上图，描述一下后台的样子。
- 有三个功能区，一个管理域名，一个是从iOS收集的信息，一个是从安卓收集的信息。
- 可以看到收集了不少AppleID
- 可以看到收集了不少通讯录和安卓敏感信息。
- 诈骗犯域名不少，基本都是随机的。
接下来是两个思路，首先在后台进行枚举，然后看要不要想办法进到攻击者的服务器。
后台信息收集
相当简陋的后台，让我回到了上个世纪。
基本上只有一个信息收集和聚合的功能，其他的功能一概没有。
进入到设置-用户-用户管理界面，发现列表中还有一个用户，并且可以编辑。
查看自己当前用户-修改密码。
这里实在是不好放图，我找了PhpMyAdmin的登录页面作为一个类似的。
大概长上图这样。
密码输入口已经被填充了，虽然是看不到内容，但是我发现可以编辑和输入。
鼠标右键-检查-查看
这家伙直接把密码写死到这里了，可以看到密码原文。。。
同理，也可以找到另一个用户的密码。
更惊喜的还在后面。
另一个用户的密码的组成是三个英文字母+年月日
类似于：mht19711029（这里是用小马哥举例，不是上述的密码）
那么这前面三个英文字母会不会是。。。
谁干的
从一开始就打算把这些信息提交给相关部门的朋友，所以事情到这一步肯定还是要合法的去查询信息。
使用Google搜索这三个英文字母，空格，然后输入后面的年份，不要月日信息。
在搜索和筛查后发现，在某个论坛有一个ID高度类似的用户，询问了海外购买VPS的问题。我记下了发帖日期，发现发帖日期和攻击者域名注册日期只相差一个月。
枚举这个论坛该用户发言，找到了QQ邮箱，到此为止。
要不要继续试试？
之前提到后台相当简陋，功能极少最大限度的限制了攻击面。一番翻箱倒柜后，一无所获，我想起了那个tmp文件。
里面文档过于杂乱，我选搜索关键字，比如开发，上传，调试之类的。在文件夹的文件夹的文件夹……中，找到了一个开发文档，其中记录了开发者开发了一个未完善的服务器文件管理功能，用来浏览，上传，下载服务器某文件夹的文件。
为了保障“安全”，这个功能放在了一个随机数字加字母的目录中，并且要求使用者暂时删除这个功能。
尝试访问这个名字长得像随机密码的目录，访问成功。
浏览和上传下载只限制在web目录中，但是这已经足够了。
写了一个混淆的webshell丢上去，发现无法上传，应该是做了一些限制。用burp抓包，绕过成功。
这里我并没有用反弹shell，这样可能触发警报，万一呢是吧。
访问webshell，whoami，发现是root
完结。
后续
有朋友在相关部门，打包发给他。后面的事就不是我操心的了，他管或者不管，我都无权过问。
安全提醒
- Apple用户。官方不会发邮件向你索取密码，谨防虚假网站。
- 安卓用户。不要下载来源不明的apk
