网上发现一个钓鱼网站,我用 Python 渗透了该网站所有信息

278 篇文章 17 订阅
订阅专栏
20 篇文章 2 订阅
订阅专栏

前言

本文的文字及图片来源于网络,仅供学习、交流使用,不具有任何商业用途,如有问题请及时联系我们以作处理。

PS:如有需要Python学习资料的小伙伴可以点击下方链接自行获取

Python免费学习资料、代码以及交流解答点击即可加入


刚才在知乎上看到一篇文章《你的QQ号是这么被偷走的!》,但是文章只是简单提到了一个伪造的 LOL 站点,嗯,就是这个【uvu.cc/ixMJ】,这明显是一个经过缩短链接处理的网站,打开后跳转到这个真实网址

【http://mfspfgp.top】

页面是下面这样的:

 

 

点击登录弹出一个对话框,让输入QQ号和密码,随便输入了一个进去,居然都可以登录,看来是一个简单盗号的网站无疑咯。

 


我很好奇的是,现在人们的安全意识这么高,这么低级的盗号网站还能骗到人吗?

算了,不管了,习惯性打开浏览器的开发者工具,先来看看这个盗号的 POST 过程。找到了,POST 到这个地址:

http://mfspfgp.top/lollove.php

参数只有两个:name 和 pass。

 

 

有了 POST 的链接和参数,就可以先来玩一下了,首先使用 Python 伪造浏览器头,生成随机的 QQ 号和密码,然后利用 requests 来循环 POST 垃圾数据到对方的服务器

毕竟主要目的是警示一下网站管理员,数据量就少点吧,10000差不多了,而且 IP 代理和多线程并发都懒得加了。


代码跑起来了,非常鼓励大家(尤其新手)采用类似手段给这个站点注入点垃圾信息,我估计钓鱼站长看到数据库中的这些垃圾数据,而且来自很多的 IP 地址,心理应该是崩溃的。


好了,就让它继续跑着吧,下面来看看能不能挖掘些其他的东西。
注:
这个钓鱼网站获取到的账号密码不一定就写入数据库,而且写入数据库后也不一定有页面进行显示出来,所以 XSS 的难度很大。

 

而且网站也有可能是通过发邮件或者写入文本等方式进行保存数据,现在邮箱系统更新补丁很快,感觉 XSS 也不好弄。

评论中有人说很轻松就可以 XSS 的,烦请告知具体的实现方法,非常感谢!

先 PING 一下这个域名(mfspfgp.top),得到服务器的 IP 地址(103.98.114.75)。

 

 

查了一下这个地址,是个香港的服务器,也难怪,这样不备案的域名也只敢挂在外面的服务器上了。

 


之后查了一下这个域名的 whois 信息,得到一个 QQ 邮箱和一个手机号,当然这两个联系方式也不一定是真的。

 

用 QQ 搜了一下这个 QQ 号,显示是一个江西吉安的少年,而且他的 QQ 空间是开放的,进去看了一下,也没有发现什么有价值的东西,只看出这个小兄弟喜欢玩英雄联盟和王者荣耀。

 


在搜索引擎上检索这个 QQ 号以及对应的 QQ 邮箱也没有找到任何有价值的信息,所以,上面这个 QQ 号的主人应该不是钓鱼网站的主人,很有可能是被这个网站盗号了。

在微信里搜索了一下这个手机号,显示地区是河南洛阳,而且他的微信头像应该是他本人了。但是我不能确定他就是网站的所有者,所以就不放他的照片了。

 

 

之后,利用邮箱反查工具,查了一下这个邮箱还注册了哪些网站,结果找出 9 个,发现其中有 6 个可以正常访问。

 


这 6 个可以访问的网址分别是:

http://fjkskda.top 、http://jligyts.top 、http://pfdqlql.top 、http://yiqilin.top 、http://zykjgkd.top 、http://mfspfgp.top 

对应三种形式的诈骗网页,分别是刚才展示的【生日祝福】、【酷秀一夏】、【2017赛事正式开始】,后两个页面截图分别如下:

 

 

 

这三种页面的盗号方式全部一样,所以顺便将上面的程序对着其他的站点跑了一下,不用谢,我的名字叫雷锋~

之后,将上面提到的网址全部 Ping 了一下,获取了全部的 IP 地址,择其中物理位置最详细的那个 IP 来试试吧。

 

 

首先在 WhatWeb 里面检索一下这个 IP 地址,即可知道这个网站采用的是 nginx 1.8.1 服务器,使用的是 5.5.38 版本的 PHP。

 


然后用 nmap 扫了一下端口和运行的服务,发现开放的端口还是蛮多的。

PORT STATE SERVICE
1/tcp open tcpmux
3/tcp open compressnet
4/tcp open unknown
6/tcp open unknown
7/tcp open echo
9/tcp open discard
...省略...
61900/tcp open unknown
62078/tcp open iphone-sync
63331/tcp open unknown
64623/tcp open unknown
64680/tcp open unknown
65000/tcp open unknown
65129/tcp open unknown
65389/tcp open unknown

(题外话:上面那个 62078 端口对应的 iphone-sync 服务感觉有点像苹果同步啥的~)
然后用 w3af 来检测网站的一些弱点,进而获取一些重要信息。但是不知道怎么回事,这次运行 w3af 出现了线程出错,导致没有顺利完成扫描,所幸的是,扫出来一个敏感链接:

http://103.27.176.227/OGeU3BGx.php。

 

用浏览器访问这个链接,显示的是一个错误页面,但是下面出现了一个关键信息:Powered by wdcp

 

 

点击 wdcp 进入其官方页面,看到了如下重要信息,这个网站还贴心地给出了一个体验站点:

http://demo.wdlinux.cn

大家可以去试试。

 

 

这样就知道了上面那个钓鱼网站的后台地址了:

http://103.27.176.227:8080

 

另外,我刚才去那个体验站点试了试,发现在修改密码的时候,用户名一直是 admin,修改不了,加上原来的登录页面没有验证码,估计可以尝试暴力破解。

 

 

用 sqlmap 扫了一下登录表单的注入点,发现并没有找到。

 


难道真的只有通过密码库来暴力破解了吗?还在思考中。。。

结束语:

使用 DDOS 等技术也许可以很轻松击垮这样的钓鱼站点,但是站长分分钟给你再造几十个出来,这样受害的人也许会更多。

所以本篇文章的目的就是给那些入门的人科普一下常见的渗透工具,这样当自己遇到类似情况的时候能有所帮助,只有让更多的知友认识到钓鱼网站的危险,学会利用上面的方法来保护自己的信息安全,这样才有意义,你们说呢?

python小白遇到QQ钓鱼网站
qwrewt的博客
07-26 449
python小白遇到QQ钓鱼网站 今天又是和平(无聊)的一天,突然我的qq邮箱接受到一个信息,我向往常一样想着----这又是一个垃圾信息。但当我打开看到内容时,嗯 0.o ~~。没错,它吸引了我。 嗯??嘿嘿,我满怀期待的点了进去。出现了一个网址,我继续点了进去。我渐渐猜到了答案。 哈哈,果然是钓鱼网站,淦!我到底在期待什么。我开始生气了。我f12开始查看源码。花了一点时间终于被我找到了关键的地方。嘿嘿,既然你这么想盗qq号,一个“邪恶”的想法在我心中发芽。 这个是点击登录的js代码。又花了一点时间
网友发给我一个游戏钓鱼网站我用python渗透了该网站所有信息
爬遍所有网站
04-13 1181
前言: 这篇文章不是像评论区的某些大佬所想的那样是来炫技的,更多的是来给大家科普一些实用的渗透工具和方法,我相信不是所有的人都用过文中提到的这些方法。 刚才在知乎上看到一篇文章《你的QQ号是这么被偷走的!》,但是文章只是简单提到了一个伪造的 LOL 站点,嗯,就是这个【uvu.cc/ixMJ】,这明显是一个经过缩短链接处理的网站,打开后跳转到这个真实网址 【http://mfspfgp.t...
python钓鱼网站_Python批量检测钓鱼网站
weixin_39830205的博客
12-11 646
写程序之前一定要自己的需求,这样才能拆解细小模块实现功能总数有多少去重之后有多少能访问的URL有多少存在弱口令的有多少先来看一下我之前是如何处理一批列表:类似于这样,首先需要把URL和后面的城市和时间分开,这里可以通过Excel自带的数据分列可以实现,也可以通过linux命令实现。1awk -F ' ' '{print $1}' 1.csv这样已经提取出第一段URL,因为这些url有些则是这样的格...
Python Django搭建简单一个steam钓鱼网站,只要免费领游戏,一钓一个
热门推荐
Python案例分享,B站视频教程:https://space.bilibili.com/523606542
11-22 1万+
前言 我们日常上网的时候,总是会碰到一些盗号的网站,或者是别人发一些链接给你,里面的内容是一些可以免费购物网站的优惠券、游戏官网上可以免费领取皮肤、打折的游戏。 这些盗号网站统一的目的都是要你登录账号输入密码,点击登录,不过就是永远会提示你密码错误,登录不上。但你输入的所有信息,都会出现在别人的电脑上 这些网站盗号网站之所以能骗得过别人,是因为做得基本和正版的官方网站没有什么差别。不能说毫无差别,只能说是一模一样 而今天,我们的目的就是搭建一个这样的网站后端,简单的还原一下你被盗号的过程 主页左侧可以免
【网络安全】两招识破钓鱼网站
记录创业路上的一些想法
04-02 2198
㈠ 查 Alexa 排名                 http://www.alexa.com                    越靠前、真实性越高                    以 中国建设银行为例                              Alexa Traffic Rank:Alexa网站流量排名          Traffic Rank in CN:国内流
户外钓鱼类网站模板是一款适合垂钓行业门户钓鱼网站模板下载.zip
02-21
户外钓鱼类网站模板是一款适合垂钓行业门户钓鱼网站模板下载.zip户外钓鱼类网站模板是一款适合垂钓行业门户钓鱼网站模板下载.zip
基于Python启发式特征的钓鱼网站检测系统源码+数据集+详细文档(高分毕业设计).zip
最新发布
05-18
基于Python启发式特征的钓鱼网站检测系统源码+数据集+详细文档(高分毕业设计).zip本资源中的源码都是经过本地编译过可运行的,评审分达到95分以上。资源项目的难度比较适中,内容都是经过助教老师审定过的能够满足...
Python3编写实用脚本程序-恶搞钓鱼网站.zip
05-23
Python3编写实用脚本程序——恶搞钓鱼网站.zip Python3编写实用脚本程序——恶搞钓鱼网站.zip Python3编写实用脚本程序——恶搞钓鱼网站.zip Python3编写实用脚本程序——恶搞钓鱼网站.zip Python3编写实用脚本程序...
python基于启发式特征的钓鱼网站检测系统
06-28
python基于启发式特征的钓鱼网站检测系统
python基于启发式特征的钓鱼网站检测系统.zip
07-19
python基于启发式特征的钓鱼网站检测系统
钓鱼网站规则提取工作的python代码重写总结
Pop_Rain的博客
05-16 916
0_originJson_writeURL_inTxt.py: import urllib.request import json origin_json_data = urllib.request.urlopen(r"http://www.txwz.qq.com/lib/index.php?m=enterprise&a=get_exsample").read() ndata = json.l
python攻击网站的方式_利用HTTP Basic认证进行钓鱼攻击的python脚本
weixin_39646658的博客
11-24 511
1) 什么是HTTP Basic认证HTTP Basic认证是由web服务器提供的,一种轻便的身份校验方式。访问某些敏感资源时,服务器将要求输入账号、密码进行校验,通过之后才可继续访问,如下图所示:2) 如何使用HTTP Basic认证钓鱼最常见的一种攻击方式,是在访问量大、又能够插入第三方图片的页面中,插入由我们构造的超链接。这样,当别人访问页面时,浏览器就可能弹出对话框来(Chrome不会触发...
防范钓鱼网站
fanghan0_0的博客
05-27 517
目前在网银、支付、团购等领域出现了大量的钓鱼网站,有没有方式可以在线实时监控并发现可疑钓鱼网站的技术? 互联网上每时每刻都会有新的域名、新的网站诞生。就是这种的互联网的开放性,使得互联网世界变得多姿多彩,精彩万分。但是这样对于监控钓鱼网站是非常不利的,尽管我们国家对于网站都要求备案,从理论上来说备案制度可以有效的避免假网站和欺诈性网站的发生,但是实际的情况是域名可以在未备案的情况下直接解
基础认证钓鱼代码编写
JackholeLiu的博客
04-08 1498
最近在学XSS,想写一个基础认证钓鱼的利用代码,同样是在网上找了半天没发现任何能用的,只好自己改写了 首先了解一下基础认证钓鱼的原理 Basic Auth:   客户端在输入用户名密码后发送请求,浏览器会用一个冒号“:”将用户名和密码连接起来,然后做一下Base64编码,就直接把这个编码后的字符串放到Authorization头部里发给服务器了。 基础认证登陆模拟(当然else if 后
Ftp笑脸漏洞复现(后门漏洞)
qq_55857040的博客
12-13 5184
目录 漏洞简介: 这个漏洞是开发者在软件中留下的后门漏洞,当连接带有vsftpd 2.3.4版本的服务器的21端口时,输入用户中带有“:) ”,密码任意,即可运行 vsf_sysutil_extra() :打开服务器的6200端口,并且不需要密码就能从6200端口以管理员身份登入目标服务器。因为输入用户名需要带有:),所以称笑脸漏洞 实验环境: 实验准备 实验过程 小总结 漏洞简介: 这个漏洞是开发者在软件中留下的后门漏洞,当连接带有vsftpd 2.3.4版本的服务器的...
2017-2018-2 20155203《网络对抗技术》Exp6 信息搜集与漏洞扫描
weixin_34007879的博客
05-06 135
1.实践目标 掌握信息搜集的最基础技能与常用工具的使用方法。 2.实践内容 (1)各种搜索技巧的应用 通过搜索引擎进行信息搜集敏感信息 在百度搜索栏中输入filetype:关键字 site:edu.cn 大多数搜索到的文件都需要下载,打开后可以发现大多是一些公示文件,也可以看到很多公示文件中也会泄露个人隐私,如以下这份有关面试信息的表格。 (2)DNS IP注册信息的查询 在MaxMind...
浅谈常见端口及对应漏洞
weixin_68243135的博客
09-22 1268
渗透测试的本质就是信息收集“
常见端口及入侵方式
weixin_60397325的博客
04-02 214
常见端口以及攻击方式
linux对端口扫描漏洞,Linux下使用Portspoof欺骗扫描Port的入侵者
weixin_28896255的博客
05-05 568
安全工具Portspoof主要是通过在原本封闭的端口上模拟仿真合法的服务签名,加强Linux等支持的操作系统安全性。它本来就是一个轻便、快速、便携、安全的附件,可以添加到任何防火墙系统或安全基础设施上。该款工具的基本目的就是,让端口扫描软件(Nmap/Unicornscan/等)进程运行缓慢,让输出结果非常难以解读,从而使攻击侦察阶段成为一项难度大又麻烦的任务。我发觉这个小工具背后的概念很有意思:...
Python一个小猫钓鱼游戏
03-30
抱歉,我是一名语言模型,无法编写完整的游戏程序。但我可以提供一个游戏的框架和示例代码,供你参考。 游戏框架: 1. 准备阶段:生成随机的鱼群,并初始化小猫的初始位置和状态。 2. 游戏循环:不停地执行以下步骤: 1. 监听用户输入,根据输入移动小猫的位置。 2. 判断小猫是否与鱼接触,如果是则捕获鱼。 3. 更新游戏状态,包括鱼的移动和小猫的状态。 4. 渲染游戏画面,显示小猫、鱼和其他游戏元素。 3. 结束阶段:显示游戏得分和结束信息,等待用户选择是否重新开始游戏。 示例代码: ```python import random import pygame # 定义屏幕大小和游戏元素大小 SCREEN_WIDTH = 480 SCREEN_HEIGHT = 800 CAT_WIDTH = 64 CAT_HEIGHT = 64 FISH_WIDTH = 32 FISH_HEIGHT = 32 # 初始化 Pygame 和屏幕 pygame.init() screen = pygame.display.set_mode((SCREEN_WIDTH, SCREEN_HEIGHT)) pygame.display.set_caption("小猫钓鱼") # 加载游戏图片 cat_img = pygame.image.load("cat.png").convert_alpha() fish_img = pygame.image.load("fish.png").convert_alpha() # 定义小猫和鱼的类 class Cat: def __init__(self, x, y): self.x = x self.y = y self.score = 0 self.status = "normal" self.image = cat_img def move(self, dx, dy): self.x += dx self.y += dy def catch_fish(self, fish): if abs(self.x - fish.x) < (CAT_WIDTH + FISH_WIDTH) / 2 and abs(self.y - fish.y) < (CAT_HEIGHT + FISH_HEIGHT) / 2: self.score += 1 fish.reset() self.status = "happy" def draw(self, screen): screen.blit(self.image, (self.x - CAT_WIDTH / 2, self.y - CAT_HEIGHT / 2)) class Fish: def __init__(self): self.x = random.randint(FISH_WIDTH / 2, SCREEN_WIDTH - FISH_WIDTH / 2) self.y = random.randint(SCREEN_HEIGHT / 2, SCREEN_HEIGHT - FISH_HEIGHT / 2) self.speed = random.randint(1, 3) self.image = fish_img def move(self): self.y += self.speed if self.y > SCREEN_HEIGHT + FISH_HEIGHT / 2: self.reset() def reset(self): self.x = random.randint(FISH_WIDTH / 2, SCREEN_WIDTH - FISH_WIDTH / 2) self.y = random.randint(SCREEN_HEIGHT / 2, SCREEN_HEIGHT - FISH_HEIGHT / 2) self.speed = random.randint(1, 3) def draw(self, screen): screen.blit(self.image, (self.x - FISH_WIDTH / 2, self.y - FISH_HEIGHT / 2)) # 初始化游戏元素 cat = Cat(SCREEN_WIDTH / 2, SCREEN_HEIGHT - CAT_HEIGHT / 2) fishes = [Fish() for i in range(10)] # 游戏循环 while True: # 处理事件 for event in pygame.event.get(): if event.type == pygame.QUIT: pygame.quit() exit() elif event.type == pygame.KEYDOWN: if event.key == pygame.K_LEFT: cat.move(-10, 0) elif event.key == pygame.K_RIGHT: cat.move(10, 0) # 更新游戏状态 for fish in fishes: fish.move() cat.catch_fish(fish) if cat.status == "happy": cat.status = "normal" cat.image = cat_img else: cat.image = pygame.transform.flip(cat_img, True, False) # 渲染游戏画面 screen.fill((0, 0, 0)) cat.draw(screen) for fish in fishes: fish.draw(screen) pygame.display.update() # 判断游戏是否结束 if cat.score >= 10: font = pygame.font.Font(None, 36) text = font.render("你赢了!", True, (255, 255, 255)) screen.blit(text, (SCREEN_WIDTH / 2 - 60, SCREEN_HEIGHT / 2)) pygame.display.update() pygame.time.wait(3000) pygame.quit() exit() ```

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
63
原创
195
点赞
1526
收藏
147
粉丝
关注
私信
写文章

热门文章

  • 如何在Python中进行描述性统计分析? 8020
  • 14行Python代码轻松实现爬取网站视频 7874
  • Python爬取下载m3u8视频,原来这么简单! 6519
  • Python绘制雷达图 5880
  • 用 Python 检验时间序列的平稳性 5043

分类专栏

  • 爬虫 20篇
  • Python 278篇
  • 数据分析 15篇
  • 0基础小白入门教学 13篇
  • pygame 5篇

最新评论

  • 以『B站』为实战案例!手把手教你掌握爬虫必备框架『Scrapy』

    SmallHdcc: 博主可不可以做一期爬取视频评论的,想学一手

  • Python爬取下载m3u8视频,原来这么简单!

    苦蓝: 在我的电脑中 代码第 10 行、第 11 行的文件结束符替换不了报错

  • Python爬取新闻网站保存标题、内容、日期、图片等数据

    橘子要乘风破浪去找海�: 求完整代码

  • 忘掉sklearn,用Python徒手写线性回归

    phoebyx: h的维度不对,应该加一维

  • (收藏向)超齐全常用python库汇总,有备无患!

    test1751: scikits.learn这个库的名称错了

您愿意向朋友推荐“博客详情页”吗?

  • 强烈不推荐
  • 不推荐
  • 一般般
  • 推荐
  • 强烈推荐
提交

最新文章

  • 想学好python元组?那就进来看看
  • 使用Python将Word表格嵌入Excel中!
  • Python的常用库的数组定义及常用操作
2021年291篇

目录

目录

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43元 前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值

深圳SEO优化公司来宾网站推广系统公司甘孜百姓网标王多少钱衡水百度网站优化排名报价昌都营销网站公司邯郸SEO按天收费报价陇南网站关键词优化推荐蚌埠百搜标王报价兰州关键词按天扣费泰安关键词排名包年推广报价开封seo优化报价宣城网站搜索优化哪家好平凉SEO按天计费公司安庆seo网站推广报价北京seo排名哪家好天门网站优化按天收费报价钦州网站排名优化多少钱合肥seo排名公司安康seo优化推荐合肥网站优化排名价格舟山关键词排名包年推广推荐延安企业网站建设多少钱红河网站优化按天扣费泸州SEO按效果付费哪家好沙井关键词按天收费价格宿州seo排名报价福田网站优化推广大芬网站优化按天扣费公司威海网站优化排名公司莆田百度网站优化报价白银百度网站优化排名报价歼20紧急升空逼退外机英媒称团队夜以继日筹划王妃复出草木蔓发 春山在望成都发生巨响 当地回应60岁老人炒菠菜未焯水致肾病恶化男子涉嫌走私被判11年却一天牢没坐劳斯莱斯右转逼停直行车网传落水者说“没让你救”系谣言广东通报13岁男孩性侵女童不予立案贵州小伙回应在美国卖三蹦子火了淀粉肠小王子日销售额涨超10倍有个姐真把千机伞做出来了近3万元金手镯仅含足金十克呼北高速交通事故已致14人死亡杨洋拄拐现身医院国产伟哥去年销售近13亿男子给前妻转账 现任妻子起诉要回新基金只募集到26元还是员工自购男孩疑遭霸凌 家长讨说法被踢出群充个话费竟沦为间接洗钱工具新的一天从800个哈欠开始单亲妈妈陷入热恋 14岁儿子报警#春分立蛋大挑战#中国投资客涌入日本东京买房两大学生合买彩票中奖一人不认账新加坡主帅:唯一目标击败中国队月嫂回应掌掴婴儿是在赶虫子19岁小伙救下5人后溺亡 多方发声清明节放假3天调休1天张家界的山上“长”满了韩国人?开封王婆为何火了主播靠辱骂母亲走红被批捕封号代拍被何赛飞拿着魔杖追着打阿根廷将发行1万与2万面值的纸币库克现身上海为江西彩礼“减负”的“试婚人”因自嘲式简历走红的教授更新简介殡仪馆花卉高于市场价3倍还重复用网友称在豆瓣酱里吃出老鼠头315晚会后胖东来又人满为患了网友建议重庆地铁不准乘客携带菜筐特朗普谈“凯特王妃P图照”罗斯否认插足凯特王妃婚姻青海通报栏杆断裂小学生跌落住进ICU恒大被罚41.75亿到底怎么缴湖南一县政协主席疑涉刑案被控制茶百道就改标签日期致歉王树国3次鞠躬告别西交大师生张立群任西安交通大学校长杨倩无缘巴黎奥运

深圳SEO优化公司 XML地图 TXT地图 虚拟主机 SEO 网站制作 网站优化