0
| 本文作者：白帽汇赵武 | 2016-10-18 16:23 |
雷锋网按：近日，一起利用公共平台正常分享功能的钓鱼事件成为讨论热点，24小时内受害者超过16000余人，本文来自白帽汇，小诺将细致解读一下事件的来龙去脉。
一阵急促的QQ信息提示音吵醒了小诺，他像是把分散在床上到处都是的四肢逐个唤醒了一遍后才能挣扎着拿出手机看了一眼，发现才睡了不到15分钟……但当瞄到“钓鱼链接”这四个字时，小诺硬生生咽下了即将脱口而出的抱怨，仿佛唤醒了身体中某个专属进程一样地突然兴奋起来，毕竟这是自己所负责的威胁情报工作中，接触最多的一个关键词。
凭经验，这种手段一看就知道是钓鱼链接地址，不出意外的话点进去将会是一个仿造的QQ空间页面，还会有个登录框忽悠你输入自己的QQ账号和密码。这已经是一种非常古老的钓鱼方式了，但这次似乎它找到了一种新的方法绕过了腾讯的拦截过滤机制，让不明真相的群众误认为这是以QQ相册的“官方”名义发来的安全链接，注意看那个链接左下角的“QQ相册”图示。
点开链接后果然不出所料，目前能够确认这是一个利用了腾讯分享组件的钓鱼链接无疑。为了进一步确认，小诺还简单构造还原了一下整个的跳转过程。
不过这个钓鱼方式未免也太不讲究了，尤其是这个非常随心所欲的登录框。本以为是腾讯经典的XSS漏洞＋拦截马套路，没想到钓鱼者根本不屑用，直接用URL跳转＋表单提交的老方法。难度这么简单，直接开搞～过程中右键看了一下页面源代码，居然发现它能识别访问者IP，如果发现IP地址来自上海、深圳、天津、珠海的话，则自动跳转至soft.baidu.com页面。这是什么套路？难道是生长于斯，不忍对老乡下手？
本以为能够闭着眼搞到Cookie，没想到，钓鱼者居然还使用了网络安全产品。
好在这对小诺来说难度依然不大，睁一只眼就够了，顺利收到Cookie～
不看不知道，即便如此简单的钓鱼手段，也仍然有人中招，乖乖献上了自己的QQ账号和密码。
这激起了小诺的好奇心，不禁想要反查一下钓鱼着究竟什么来头。接下来，通过nosec平台这个秘密武器对钓鱼页面域名进行反查询，发现钓鱼者共注册了三个域名，其中只有两个可以打开。
顺手加了目录用弱口令进行测试，居然成功了，看到钓鱼者还使用了代理系统，用来分配多个不规则字符组成的二级域名。
再次应用nosec大数据平台进行关联查询，又发现了一些，并且均是同一个团伙所为。
事已至此，小诺整理了下手头资料，向相关公司提交了这个新被发现的疑似漏洞。
事后我们发现，从2016年9月18日17:43:48至次日13:09:54短短不到24小时的时间内，钓鱼者已经获取到了有超过16000个QQ账号和密码信息。也就是说，有超过16000人点击了链接并输入了自己的QQ账号和密码！
同时，小诺也再次提示大家，陌生链接、特别是需要输入账号密码的链接请慎点；另外近期点击并提交过自己账号信息的，要及时去修改密码。
单凭一个标题都能短时间让至少16000人点击，这个技能好像非常适合公众号的同事……
雷峰网原创文章，未经授权禁止转载。详情见转载须知。
