0x0 背景
福无双至、祸不单行。本来是风和日丽的天气,白帽子在工地认真搬砖然后被一些所谓的负(dou)责(bi)人怼了,心里感觉到很委屈。准备下班之际莫名其妙收到了一封QQ邮箱弹窗点开一看直觉就是"这货有毒"。
0x1 过程
新学期课程表安排通知,感觉还是比较有针对性的,想一想自己前段时间加入一些考研群的,目测就是这些群里面的人吧。话不多说,就开启burpsuit看看通信过程。
一访问这个域名就直接跳到一个页面
http://o.a.jjnt.win/1.php?_wv=886?oNgf
直接就让我输入QQ号码和密码、然后我就输了一下抓包显示还是明文传输。
一共需要提交三个字段的变量:ip user pass
处理的PHP是456fghfghjkdg415646.php
然后对这三个变量测试了一番,安全性还做的挺好的常见的攻击方式都被过滤了。