【傻子太多，骗子不够用！】黑吃黑——某移动钓鱼平台

偶然看到这篇文章，这么简单的钓鱼方式竟然还有那么多人上当！让我想到一句话：“中国傻子太多，骗子不够用。”说到底，还是因为贪心和喜欢占小便宜。转载过来供大家开脑洞。

最早的时候是在三里屯那边，手机被伪基站劫持收到的一条短信。

发到内部群里后，被基佬超秒了。通过C段的一个站嗅探了后台地址和密码。

当时登陆进去以后，应该是被发现了，管理员赶紧修改了后台地址和账号密码，但是依然可以arp到。又登录了进去。

搞黑产的也不是吃素的，应该是发现被ARP了，就把那台C段的主机关闭了。（现在黑产都这么吊了？一个C段都是他们的东西）

当时也没有注意，后台又在某论坛看到有人也遇到了。（别惹黑客）

最后是今天在乌云的zone看到有人发了个钓鱼站出来。

搞了一下，记录一下过程。

打开网站，首页是这样的

上面别的连接很多都是失效的，只有查询才是可以成功的，随便输入一个手机号，就会提示你账号里面有钱，赶紧体现。

提交的时候

直接插入XSS，然后过了一会果然就收到了，其实提交成功后还让你下载一个APP，是apk的。这个下面再说。

登录进去以后发现跟之前的那些都差不多，应该是一帮人写的玩意。

里面很多应该账号密码都是真实的吧。

此处有越权，不需要登录就能访问，那么只要知道后台路径就可以登陆了。

下面就是APK了，直接导入APK改之理，就可以看到很多明文的函数信息了，qihoo360那个包名问了二进制的伙伴，说是360的混淆壳？我抓的这个是发送关键信息到某个手机号的

骗子收信用手机号：15915412287

之前看到别人分析的是用邮箱发送形式获取信息的，还能登录上去端老窝。

手机收信就无解了。

不过可见这种系统可以生成至少两种收信方式的APK。

原文链接：http://mtfly.net/245