码迷,mamicode.com
首页 > 移动开发 > 详细

SQL注入-攻入Apple ID钓鱼网站实录

时间:2017-08-28 23:54:08      阅读:348      评论:0      收藏:0      [点我收藏+]

标签:加密   内容   www.   style   over   删除   editable   ext   网上   

之前写的一篇利用SQL注入方式攻击钓鱼网站的文章,现在在博客园再分享一下。

 

下午,朋友发了一条朋友圈,内容大概这样:

技术分享

大体就是她的iPhone丢了,收到了钓鱼短信,多么熟悉的套路,如下:

技术分享

还好她比较机智,发现是个钓鱼网站,地址如下:

当时看到这件事后,想到之前有巨巨顺势搞定钓鱼网站,所以我也想小试牛刀一下,看看能否攻入钓鱼网站后台。

技术分享

在试了几轮PHP常见后台地址后,比如/admin,/index.php/admin,均未奏效,索性开始对网站抓包,抓包过程中有了意外收获,得到了另一个实际的核心站点信息。

技术分享

原来在apple-icloudid.com.cn下的一切请求实际都是由这个站点来处理的,包括管理后台。

这个站点设计的极为简陋,所以三下五除二就顺利找到了管理后台地址:

然而竟然同时发现了另外一个管理后台:

技术分享

页面上写着“低调做人,高调做事”,这是个什么鬼!!!

下面对这两个站点抓包的过程中,十分幸运的是,发现了一个SQL注入漏洞:

技术分享

简单的API调用居然把执行的SQL语句返回了!!!这么严重的漏洞,我不利用谁利用。

不过让我惊讶的是,管理后台的登录框有对SQL注入做了处理,所以我只能从这个API调用来进行SQL注入。

对了,我是SQL注入小白,通过网上现找和朋友给的一点MySQL资料,使用Postman实现了简单的攻击。

第一波先获取数据库表信息

‘ or updatexml(0,concat(0x7e,(SELECT concat(table_name) FROM information_schema.tables WHERE table_schema=database() limit 0,1)),0) or ‘

技术分享

得到10张表名,分别是ap_admin, ap_members, ap_sites, ap_userlog, yu_admin, yu_guest, yu_members, yu_mibao, yu_sites, yu_userlog。

其中yu_mibao这张表里存储着受害人的iCloud账号信息,ap_admin和yu_admin两张表里存了管理员账号。

第二波获取管理员表结构

‘ or updatexml(0,concat(0x7e,(SELECT concat(column_name) FROM information_schema.columns WHERE table_name=‘yu_admin‘ limit 0,1)),0) or ‘

技术分享

其中ap_admin和yu_admin表字段一致,分别为userid, gid, username, password, email, logintime, loginip, logincount。两张表里各有一条管理员账号记录

ap_members和yu_members表字段一致,分别为uid, email, password, regip, address, site。

其他表还没有查看,方法类似。

第三波获取表数据

‘ or updatexml(0,concat(0x7e,(SELECT concat_ws(‘:‘, username, password, email, logintime, loginip, logincount) FROM yu_admin limit 0,1)),0) or ‘

技术分享

这里我们从ap_admin表获得一个管理员账号,账户名为apple,密码为加密后内容0659c7992e268962384eb17,暂时未能破解。

从yu_admin表中获得另一个管理员账号,账户名为apple,密码同样为加密内容5a50131eb6f2d7b652ae459b4,同样暂时未破解。

到了这里基本就可只差密码的破解的,后续的步骤是试着删除掉该钓鱼站点所有受害人信息。

写在最后

公布下目前找到的有关钓鱼网站的信息

技术分享

技术分享

以及通过API漏洞获得的QQ邮箱一个:1485882247@qq.com

以上就是本次整个攻击过程,当然因为我是菜鸟,所以很多要点处理的应该都不太好。钓鱼网站这个套路屡见不鲜,对方往往打一枪换一个地方,祸害了不知多少普通用户。手机丢了还好,可怕的是iCloud里的隐私数据,往往会带来难以想象的伤害。

最后,就酱。

 

#4月7日更新


 

目前写了个小程序,不停往对方数据库写入假数据^_^

刚看到@林肖恩的新进展Apple ID钓鱼网站后台一览 - 知乎专栏

很疑惑为什么我用Postman获取到的密码长度是23位,而林肖恩获取到的确实完整的32位

钓鱼网站后台已被破掉,受害者信息已清空。赞!!!

已将相关网站举报到12321网络不良与垃圾信息举报受理中心

 

SQL注入-攻入Apple ID钓鱼网站实录

标签:加密   内容   www.   style   over   删除   editable   ext   网上   

原文地址:http://www.cnblogs.com/mantgh/p/7442086.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!