由小姐姐炫耀引起的一次钓鱼网站入侵并溯源

本文作者：drivertom 原文地址：http://drivertom.blogspot.com/2019/03/blog-post_16.html

本文所写的内容基本真实，但有些渗透溯源的过程为了描述的精简被修改删除。一些无关紧要的事情也被略去，但对渗透至关重要的大思路和小细节我都没放过。同时在渗透的时候我没有留下截图，很多图是我后来补上的。转载请注明出处。

0x01 引子

事情要从一周前说起。

深夜，寝室，我照例空虚寂寞百无聊赖地刷群。

突然看到 D小姐姐在群里面说她用了 N 线程给钓鱼网站交了大量垃圾信息，最后卡爆了服务器，颇为得意。

当晚我正好闲着没事，就决定小小地得罪一下这个钓鱼网站，故事就这样开始了

0x02 入侵

首先是基础的信息搜集，但是当我查询 whois 和微步在线之后却没有任何结果，显示的是这些注册信息被保护了，毫无结果。最后只知道同一台服务器上运行了很多相同的钓鱼站。

好在 D小姐姐的垃圾数据并没有给服务器造成太大影响，很快服务器就恢复了并显示如下界面

现在的钓鱼网站的制作者都很良心，界面弄得跟官方的非常相似，可不像当年那些随便画个框框就等着要密码的，毕竟时代在进步嘛。但这也不是完美的，密码那里弄成小写 qq 的了。

翻看钓鱼网址：

http://timea.icu/Ru_op/newwap.html

的源码，我们可以看到作者用了 document.write(unescape(' 来掩饰网页源码，应该是用来防止被基于关键字拦截的防诈骗软件拦截？

而且网页里面还引用了个有趣的 JS

window.onload=function() {
    var date_time='2019-4-2 18:00:59';
   
   var time=Date.parse(newDate());
   var date1=Date.parse(newDate(date_time.replace(/-/g, '/')));
   if(date1<time) {
       top.location.href='/expire.html';
  };
  $('#expire-time').html(date_time);
};

大概就是一段时间后这个网站就 "expire" 掉了，而 expire.html 长这个样子。