案例
隨筆
知識
聲音
其他
編者按
好久沒(méi)發(fā)這么酣暢淋漓的偵破過(guò)程了。尤為難得的是，“操刀破案”的是當事人自己，這嚴重符合好萊塢大片的風(fēng)格。經(jīng)作者同意，本號全文轉發(fā)。
本文原作者：森山先生。
這事過(guò)去將幾個(gè)月了，從2018年9月份開(kāi)始著(zhù)手調查這件事，直到12月份調查徹底落下帷幕，整個(gè)過(guò)程耗時(shí)太長(cháng)，其中一些細節無(wú)法回憶起，有那么一部分不方便透漏，各位看官當做消遣一看便可。
導火索
1、事件開(kāi)始是筆者一個(gè)朋友的Iphone在地鐵上被偷了。事后沒(méi)兩天就收到了一條釣魚(yú)短信。
▲圖 受害者收到的釣魚(yú)短信
2、該釣魚(yú)網(wǎng)站仿真度極其之高，但底部的一些按鈕卻沒(méi)有添加超鏈接。
▲圖 當時(shí)沒(méi)有截圖下來(lái)，圖片來(lái)源：網(wǎng)絡(luò )
3、這條短信模擬官方短信格式發(fā)送了過(guò)來(lái)，筆者的朋友也是網(wǎng)絡(luò )安全剛入門(mén)的，所以他打開(kāi)網(wǎng)站之后就發(fā)現了不對勁兒，接著(zhù)就來(lái)求助我了。
一、初步探查
1、這條短信發(fā)送來(lái)源是一個(gè)全國SP業(yè)務(wù)電話(huà)，根本無(wú)從下手調查，電話(huà)：0692898****
2、轉移目標從釣魚(yú)網(wǎng)站的域名開(kāi)始調查，通過(guò)whois查詢(xún)該域名的相關(guān)信息，得到了一個(gè)姓名和QQ郵箱。
3、用Google檢索了該QQ郵箱，發(fā)現這QQ是買(mǎi)來(lái)的。
▲圖 谷歌檢索該QQ
4、為了確認這郵箱是否是用來(lái)登錄西部數碼的賬號，我進(jìn)行了找回密碼，的確是用于登陸該域名的。
▲圖 西部數碼找回密碼功能
5、之后，我對注冊商客服發(fā)起了社會(huì )工程學(xué)攻擊，用到的理由是：域名被非法解析，從而失去了該域名的控制權，希望客服妹妹提供該域名的相關(guān)信息，最終以失敗告終。
二、突破口的出現
1、在對該域名進(jìn)行whois反查的時(shí)候發(fā)現了一個(gè)資源網(wǎng)，并且在底是時(shí)留有QQ號碼的。
▲圖 網(wǎng)站底部留的聯(lián)系郵箱
2、搜索查看QQ資料，沒(méi)有符合小號的特征。
▲圖 查看QQ資料
3、再次轉換了攻擊目標，利用QQ安全中心找回密碼功能，嘗試深入挖掘到他的手機號碼。
▲圖 QQ安全中心找回密碼
4、密保手機被騰訊做了相關(guān)的隱私處理，用某個(gè)漏洞能看到完整的手機號，此處不表。
▲圖 東莞的號碼
5、用這手機號進(jìn)行了長(cháng)時(shí)間的排查他注冊了哪些社交賬號，最后的結果是，該號碼并非長(cháng)期使用號碼，極有可能為一個(gè)臨時(shí)號碼。
6、通過(guò)某個(gè)渠道得到該號碼機主身份：陳明*（無(wú)權泄露他人隱私，打碼處理）
7、用該手機號碼放到服務(wù)器里跑了接近一天，出現了一條很有用的信息，對方是一個(gè)程序員，并且接開(kāi)發(fā)單，掃碼查看了完整的電話(huà)是相符合的。
三、欺騙攻擊，掌控電腦控制權
1、我偽造了一個(gè)廣州本地的號碼撥打了過(guò)去，以找他開(kāi)發(fā)網(wǎng)上商城為由，詢(xún)問(wèn)他的地址面談，而他卻告訴我現在不在廣州，去了外省。
2、為了確認他所說(shuō)的話(huà)是否真實(shí)，我加上了他的QQ，并且在某文檔制作網(wǎng)站，制作了一份名為“開(kāi)發(fā)需求”的文檔發(fā)送給他，并且在其中插入了GPS定位鏈接，魚(yú)兒果然上鉤了，攻擊者還在廣州，可能為了謹慎起見(jiàn)不愿意與我面談。
▲圖 引誘其上鉤
▲圖 GPS定位到的詳細位置
3、在制作開(kāi)發(fā)需求的文檔中，我故意設置訪(fǎng)問(wèn)錯誤，因為我要進(jìn)行我的下一個(gè)目的，對方說(shuō)文檔無(wú)法訪(fǎng)問(wèn)，我說(shuō)那發(fā)到你的QQ郵箱吧。
4、在word文檔里利用早些年的漏洞插入了一個(gè)木馬，一個(gè)星期之后我終于徹底擁有了他的電腦控制權，因為小心謹慎的原因，我并沒(méi)有進(jìn)行操作。繼續潛伏了一個(gè)星期之后，我開(kāi)始遠程翻找他的文件夾，他電腦有著(zhù)很多域名的登錄用戶(hù)名與密碼。
▲圖 存放域名賬號密碼的文件
▲圖 整理的很清晰
四、新的聯(lián)系人出面
1.在監控了對方電腦長(cháng)達兩個(gè)星期后，他的QQ有個(gè)名叫XX維修店的人聯(lián)系了他，并且給了他一個(gè)手機號，說(shuō)“魚(yú)兒來(lái)了”。
2、通過(guò)條件查找該XX維修店的QQ，找到了這個(gè)人的QQ號，通過(guò)網(wǎng)絡(luò )搜索并沒(méi)有太多可用的信息，只是知道他的店鋪在深圳，具體信息未知。
3、四天后，我添加了維修店老板的QQ，我說(shuō)我手機有ID鎖，能不能解開(kāi)？
4、老板很謹慎，詢(xún)問(wèn)我誰(shuí)介紹來(lái)的，我隨便捏了個(gè)名，老胡叫我來(lái)的，我猜想他肯定接觸過(guò)很多的人，對于一些人名應該沒(méi)有什么特別深的印象，這次我打算豁出去了，不成功就放棄這條線(xiàn)索。
5、事情在往好的方向發(fā)展，維修點(diǎn)老板沒(méi)有再多問(wèn)，問(wèn)我是哪人，并且給了一個(gè)店鋪地址過(guò)來(lái)，讓我有空拿去給他看。
五、收網(wǎng)
1、在和老板聊了兩個(gè)多星期后，我們毅然成為某種“朋友關(guān)系”，他告訴我，現在臟機特別多。
2、轉移攻擊目標，繼續收集釣魚(yú)網(wǎng)站架設者的個(gè)人信息，通過(guò)ew反彈代理訪(fǎng)問(wèn)了他的內網(wǎng)，不過(guò)很可惜，他用的是流量卡上網(wǎng)，似乎流量卡上網(wǎng)變成了黑產(chǎn)的標配。
▲圖 4G無(wú)線(xiàn)上網(wǎng)卡
3、監控對方的電腦攝像頭發(fā)現并沒(méi)有蓋住，收集到攻擊者的人臉圖像。
六、案件越來(lái)越清晰
時(shí)間故去了近一個(gè)星期后，在對攻擊者和維修店老板的信息收集和整理后，整件事情變得越來(lái)越清晰。
維修店老板收到小偷盜來(lái)的手機進(jìn)行解鎖，一些無(wú)法解鎖的會(huì )轉交給釣魚(yú)者發(fā)送釣魚(yú)信息套取用戶(hù)與密碼。
由于小偷是直接把手機拿去維修店，在網(wǎng)上無(wú)任何聯(lián)系，而我的能力到這只能望塵止步。
至于事情的后續，抱歉無(wú)法告知，這件事我所用的手段也涉及到了違法，希望網(wǎng)友們不要逮著(zhù)這個(gè)來(lái)說(shuō)我，遇到網(wǎng)絡(luò )犯罪，我們這些學(xué)安全的，能夠盡自己一份力量幫助警察就可以了。
最后奉勸那些在法律邊緣試探的老哥們，國家的力量是非常強大可怕的，萬(wàn)勿違法犯罪，謹記！
【編者注】世界尚未被黑暗籠罩，普通人仍然可以發(fā)出光和熱……
