最近在样本分析过程中发现针对支付宝理赔的钓鱼事件,人在很紧急的情况下很容易忽视网站的真实性,这样就给了黑客可乘之机。
*** 钓鱼,是指攻击者通过垃圾邮件、即时通信、社交 *** 等信息载体,发布欺诈性消息,骗取 *** 用户访问其构建的虚假仿冒钓鱼网站,意图引诱用户泄露其敏感信息(如用户名、口令、账号ID或***卡详细信息)的一种 *** 犯罪行为。这种攻击方式已成为当前互联网更大的安全威胁之一。
钓鱼网站的基本特征是,其界面基本与真实网站一致,充满诱导性,通过表单交互来欺骗消费者或者窃取访问者提交的账号和密码信息。钓鱼网站是互联网中最常碰到的一种诈骗方式,通常伪装成各类知名邮箱、银行及电子商务、窃取用户提交的账号、密码等私密信息的网站。
钓鱼网站列表如下:
编号 | 域名/URL |
1 | www.czsanqing.com |
2 | xajdzlwx.com |
3 | www.xajdzlwx.com |
4 | www.tszlcucc.com |
5 | http://160.124.49.161 |
6 | http://160.124.49.144/ |
7 | http://160.124.49.148/ |
8 | http://160.124.49.180/ |
以其中的一个理赔钓鱼网站为例(www.czsanqing.com),访问支付宝申请理赔钓鱼界面如下,仅仅看页面完全不像是钓鱼网页的痕迹,还吓唬上钩的用户“欢迎进入理赔中心,请在理赔 *** 的指导下完成申请理赔,请勿中途中断操作,导致账户异常或冻结,确认申请,点击申请理赔。”;
点击申请理赔,提示输入用户名和密码,在此本人随便输入用户名111111和密码111,点击登录,显示可以进行下一步,输入***号;
紧接着就提示输入姓名、密码和 *** 号码;
然后让用户获取验证码并填写,一套流程下来把用户所有的信息都获取到手。
钓鱼页面(xajdzlwx.com)直接显示申请理赔,用户点击理赔直接提示用户输入支付宝用户名和密码。
打开浏览器的开发者工具,输入用户名和密码,可以发现三个参数user、passwords和nametype,其中nametype固定不变,nametype=”支付宝”。
如果想恶意一下构建钓鱼网站的黑客,可以构造一组随机用户名和密码,构造多次POST请求;起到混淆视听的效果。
完成搜索信息收集之后点击提交按钮,会调用zdlclos(),这个函数的名称看着也着实有点业余,很大可能性是国人 *** 的钓鱼网站。
Burp抓包数据如下:
url解码后发现提交的是用户填写的所有信息,包括收款账户、**证信息、***卡号等用户隐私数据。
由于钓鱼网站不易察觉,最根本的预防办法是提高警惕,不登录不熟悉的网站,键入网站地址的时候要校对,细心就可以发现一些破绽,不要打开陌生人的电子邮件,更不要轻信他人说教,特别是即时通讯工具上的传来的消息,很有可能是发送钓鱼网站或病毒,不要轻信来历不明的信息,谨防电信诈骗。
昨天下午时候,百度首页。出现了一件匪夷所思的事情,那就是用作弊手段把SEO做到首页的网站,全部消失,全部换成关于SEO的新闻,这下,SEO大佬们集体慌了。 要知道,SEO这个词排在首页意味...
很多孕妇妈妈熟悉安满这个奶粉品牌,做孕妇奶粉口碑很不错,那么安满的宝宝奶粉怎么样呢,下面友谊长存的小编就带来:安满婴儿奶粉3段怎么样 安满婴儿奶粉3段测评。 安满婴儿奶粉3段怎么样 前怀孕时喝的就...
前几天就看到这个流动了,一直没测试,本以为又是企鹅一毛不拔的本色,没想到我下载登录就领到了5.08米红包,提现秒到微信零钱!若是你没抽到这么多,可以通过使用腾讯舆图导航,或者拉人头凑到3米就能提现!...
12月18日徐州市传来消息,为促进廉租住房制度建设,逐步解决城市低收入家庭的住房困难,徐州市正式出台了《徐州廉租住房保障新办法》,新《办法》的。 申请条件:1、申请人具有5年以上当地城市常住户口;2...
我就是下了个盗号软件自学,试验了两次,第三次用了半个小时就成功盗了别人的号码。”“伪黑客”小雷是一个普通的城市白领,他很淡定地描述了盗取别人号码的过程。据瑞星安全专家唐威透露,由于大多数公司在安全上存...
在入门篇,我们学会了SQL注入的判断方法,但真正要拿到网站的保密内容,是远远不够的。接下来,我们就继续学习如何从数据库中获取想要获得的内容,首先,我们先看看SQL注入的一般步骤: 第一节、SQL注入...