昨晚我們團(tuán)隊(duì)捕獲到一路高級(jí)垂釣報(bào)復(fù)打擊，告急響應(yīng)后，對(duì)背后的團(tuán)隊(duì)手藝運(yùn)作能力暗示賞識(shí)：終究不是老套的、土得要死的編制。此次還真喚起我心中的阿誰魔鬼，有趣，如許才有趣...
等黑產(chǎn)(非其他團(tuán)隊(duì))用如許的編制已等了好久好久，當(dāng)然還不敷高超，但已有進(jìn)步了!按照偉大年夜的統(tǒng)計(jì)學(xué)，互聯(lián)網(wǎng)上展天蓋地的報(bào)復(fù)打擊，能正巧被我們發(fā)現(xiàn)的概率不高，此次既然發(fā)現(xiàn)了，可以推出操縱這一報(bào)復(fù)打擊手法估計(jì)早幾個(gè)月已在實(shí)施，而預(yù)備好這套打算，估計(jì)時(shí)候上會(huì)更久。
開端進(jìn)進(jìn)重點(diǎn)：
在拍拍上和賣家交換后，賣家發(fā)來這條動(dòng)靜：
親，親反應(yīng)的售后辦事標(biāo)題問題，我們給親退款58元作為優(yōu)惠，親填寫下退款信息：http://mcs.paipai.com/RWsiZVpoe
亮點(diǎn)1
被拐騙拜候上面這個(gè)鏈接后，會(huì)302跳轉(zhuǎn)到：
http://shop1.paipai.com/cgi-bin/shopmsg/showshopmsg?shopId=2622893717&page=1&iPageSize=1&t=0.8497088223518993&g_tk=2019233269&g_ty=ls&PTAG=40012.5.9
這里面是一個(gè)存儲(chǔ)型XSS，這個(gè)XSS不錯(cuò)在于，報(bào)復(fù)打擊者經(jīng)由過程點(diǎn)竄本身QQ昵稱后，昵稱被拍拍讀取并沒恰當(dāng)?shù)倪^濾就揭示出來了，導(dǎo)致存儲(chǔ)型XSS。以下圖：
上面這個(gè)鏈接的代碼以下：
var msgContent = [false,false,1,false,'2351926008: ',' ','0000000000','2012-11-11','04:57:25','店東答復(fù)','00000','2012-11-11','04:59:25',''];
showLeaveMsg(msgContent, 1);
寄望紅色標(biāo)注的位置。
亮點(diǎn)2
上面紅色標(biāo)注的位置，阿誰js鏈接是短網(wǎng)址，這個(gè)手法已習(xí)覺得常了，短網(wǎng)址利于利誘，同時(shí)內(nèi)容短，對(duì)一些數(shù)據(jù)提交限制長度的功能來講，這是一個(gè)好編制。
亮點(diǎn)3
打開這個(gè)短網(wǎng)址，跳轉(zhuǎn)到了以下鏈接：
http://my.tuzihost.com/qq2.js
這個(gè)鏈接里會(huì)生成一個(gè)拍拍真的頁面，同時(shí)起碼履行了以下腳本：
document.writeln("");
這個(gè)腳本很***，就是專門盜取Cookie的。本年315后，熟諳Cookie的同窗已良多了，拍拍的Cookie比較脆弱，被盜取就意味著身份權(quán)限被盜。
在qq2.js這個(gè)文件里，報(bào)復(fù)打擊者較著是做了足夠的研究，包含提取關(guān)頭Cookie字段，經(jīng)由過程代碼里的陳跡與氣焰，估計(jì)可以推出是誰寫的:)
亮點(diǎn)4
qq2.js地點(diǎn)的my.tuzihost.com首頁做了假裝，讓人覺得是一個(gè)正規(guī)的導(dǎo)航站。
亮點(diǎn)5
my.tuzihost.com存在列目次縫隙，經(jīng)由過程這個(gè)我查看了報(bào)復(fù)打擊者寫的其他代碼，可以看出專心了……
經(jīng)由過程周邊的一些信息揣度：
1，報(bào)復(fù)打擊者匯集到的Cookie應(yīng)當(dāng)是存進(jìn)了MySQL數(shù)據(jù)庫;
2，應(yīng)當(dāng)有個(gè)后臺(tái)能顯示這些Cookie信息;
3，有郵件通知功能(或許還用作其他);
4，報(bào)復(fù)打擊者(或說團(tuán)隊(duì)更合適)不長于隱躲，或許他們分工真的明白，寫操縱代碼的人不必然介入了報(bào)復(fù)打擊，不然不太可能犯下一些較著的弊端;
結(jié)束
我們已第一時(shí)候?qū)⑦@個(gè)報(bào)復(fù)打擊反饋給騰訊安然中間，我發(fā)現(xiàn)他們已修復(fù)了縫隙，效力真高。
此次報(bào)復(fù)打擊實(shí)際上還不高級(jí)，不外很是有效，垂釣釣的不是暗碼，而是關(guān)頭Cookie，足矣秒殺拍拍了。我曾科普過《關(guān)于社交收集里的高級(jí)垂釣報(bào)復(fù)打擊》，大年夜家可以查看微信的汗青動(dòng)靜，看看這篇文章。
此次報(bào)復(fù)打擊在黑產(chǎn)中應(yīng)用值得引發(fā)業(yè)界的警戒，實(shí)際上過往幾年，如許的報(bào)復(fù)打擊我碰見過幾起，不外沒證據(jù)表白是黑產(chǎn)在應(yīng)用，根基都是：just for joke。
你，終究要來了?