本帖最后由 Gecco 于 2015-11-5 21:43 编辑
女神的说说の领1G流量双11活动，是真的，还是有幕后黑手？牵出幕后之【安全意识篇】 最近找工作失利一直想找个地方抚慰下受伤的心灵~听说贵地基友众多，所以。。。 额 额 额，还是回到主题。。。事情是这样的，昨天下午，本屌一个以前的学霸女同学转发了说说，如图所。射。 嗯，很平常，空间每天都有很多转发，遂，罢了~并没有引起本屌注意~ 然后，一个屌丝孤零零的坐在电脑前，一晃就到了晚上，刚吃完饭回到电脑前又坐下，正想着要不要看个小电影什么的，咳咳。。。叮咚~，女神在这时有动静了（提示：特别关注是会提醒的~嘻嘻）。 额，好吧，转发的说说，诶，不是中午的那个看到的那个活动么，女神也转发了，还亲测说是真的，其实下午陆陆续续有很多好友也转发了这个活动。但是女神发什么都是不一样的~我知道学霸和女神是不同城市，女神在帝都，学霸在海南。。。横跨一个中国。。。天猫双11果然是传遍大江南北啊，各族人民为alibaba献助攻，本屌在女神的颜~威下，还是想点进去看一下的，毕竟要关注女神的一点一滴嘛。嘿嘿嘿。上图~ 点进来最终界面是这样子的，但是中途一直正在连接持续了快2秒，2秒啊，我的1000M光纤，怎么能忍受2秒的响应，好吧，吹个牛先。其实我是100M光纤，哈哈，打开速度也还是很快的，貌似没什么不正常的，但是大家转的这个活动不可能凭空出来，一定有来源页面，咱一定得有安全意识! [size=1em]然后祭出神器Burp suite，开始基础入门教程。。。额。不对，是开始分析，最近老是手抖，也不知道为什么，大家有知道的可以告诉我啊，见谅啊~~，设置好FIREFOX代理，开始拦截，人眼检测URL开始，没错，就是这么6，这个时候我们的安全意屎会告诉我们，活动如果不正常，那么一定存在不是QQ或TMALL的跳转链接，上图，大神们先别走，这是反转剧。
开始跳转了，Referer跳到了一个又一个链接，最后的页面还是我的这个Referer值，本屌菊花一紧，如果有某个环节搞到了我的Cookie那么，qq不是就被劫持了么，沃勒个去，本屌异常细心的检测着这中间重重的请求链接，上图 [这两个URL是什么鬼，一个honeyclub，一个hotel，QQ和ALI官方会拥有这样的域名？只做跳转和统计？我赵日天不服！ 这里面一定有阴谋。。。。大大的阴谋。作为一名未来安全界的新星，嗯。咳咳，俺想一定是这样子的。我要去挖出他们的阴谋。。。一定要挖出来。 回到最初的入口，一直点，一直Forward看到不是qq的链接就各种看啊看，好吧，其实什么都没有。哈哈，其实主要是最后我参加了活动抽了三个1块的红包，我赵日天不服，妹子都抽的1G流量。。。你们一定有阴谋~然后说时迟，那时快，手又抖了一下。。。然后抖开了最终界面的源代码。。。如图所。射 这张是另外一个地址: 是的，你没有看错，这个图其实没什么卵用，这个应该是从跳转来源直接传进了JS而已。。。。应该是SPM相关的，没研究过。。。不过这些个链接全是xiaoming.php诸如此类的。。。这应该就是一个引流的团队为了推广，跳转了一下活动吧。 写不下去了就上图。。。 当我再次点击那个说说上的链接。尼玛这次直接跳这页面。。。你说你什么心情，旁边有人。。。。我想说，这个流量引得真好。。。下次人家搞什么活动，我也去做跳转，推广什么的方便多了。。。 改个UA，或者上模拟器进去。手机上访问是一个抽奖大转盘，抽流量，随便一点就是1000M，700M，然后点击分享后，说是半小时再送流量。目前转发的没有一个说真送的，你说本屌的女神不是说是真的么，呵呵，女神这条说说就是点击分享的效果。由于每个人都会抽到很多流量，分享就能领取，所以大家抱着试一试的心态都分享了，到这里你是不是感觉，他们就是一个很好的利用了双十一活动来推广自身微信，刷流量的团伙。。。
老东西了，不过大牛发了这个之后不是没有引起相关重视么，不是在后面某个版本被开发人员还原回去，导致漏洞再次出现了么，那么，会有类似的情况发生么，如果发现了新的洞，或者说这个洞被开发又还原回去了（不可能的假设），或者说有另外的办法可以做到同样的效果，在祖国 天南地北，同样转发这样一个团伙的链接，并吸引大量点击，点进去一个第三方的页面，被种植好了flash xss rookit，进入Tmall，查看自己的红包而登录，被这个团伙获取账号密码。也许现在拿了你的账号密码你也觉得没什么，没错，这个团伙他们也觉得没什么，就是简单收集一下而已。 仅希望大家在日常生活中保持安全的姿态，用你们的技术让周围的人免受危害。最后引用一下上面这个洞的部分描述来结束这篇【安全意识篇】，轻喷。
有些漏洞，如果只是从技术层面来说明问题，厂商似乎感觉不到它的危害。奉献给普通网民，厂商努力修，我们网民自己也得增强安全意识，那些抱着“这么大公司不可能有大漏洞”之幻想的网民们该醒醒了。。。
他们经常搞这样的活动来回馈社会： 上面这些个短地址下载地址，也都是经过N多第三方跳转的。 上个中间某环节的域名信息，不多发： 他们到底做没做奸犯科呢，发个活动链接给大家助助兴，双十一来了，大家快乐哈，领个好红包。 另吐槽一下国外垃圾邮件全TM这样的，新技巧Get，总有人点的，用来推广不错。
以上。
诶，不对。。。写着写着忘记正事了。 各位大侠，等等我。。。其实我是来发工具代码的，大牛勿喷。 开源一个HACK GAME答题平台吧，CTF形式的，取KEY的，代码比较简单简单简单，给大家（吐槽）做个参考研究。 这个是早些时候写的，之前拿来线下赛用的，暂时就这个版本吧，后面会更新的，登录什么的没意思，要也得是oauth的呀。说不定弄成闯关游戏也不一定，欢迎大家献题献思路，你给思路我来实现。妥妥的。 这个语言当然是世界上最好的编程语言没有之一的，PHP啦。
上图： 对了，别问我为何是ThinkPHP，代码又如此浮夸，因为这个最后终极大题就是搞定这个烂平台。
希望加入90与大家一起学习，请多多指教。哈哈
===============================
文章条理清晰，思路灵活多变，很不错。通过。
| 
。