记录一次突破区块链交易所后台双因素认证

访客4年前关于黑客接单898

最近做项目的时候,遇到一个区块链交易所,从渗透这块走估计挺难,所以花了不少时间,打入敌人内部获取了不少信息,通过观察发现几个疑似管理员,在微信群里深入交流之后,获取了不少 *** 和 *** 账号。

1612170213_6017c3e5846a412fc77b6.png!small

给大家po一张手工写的一些重要信息,全部打码了,整整两张A4纸,请大家忽略我这一手的草书,谢谢!

1612170232_6017c3f8987186ee460c9.jpg!small

这里重点讲如何突破的,在获取到信息之后,结合区块链网站信息,居然没有找到后台,在经过一段时间的排查,通过ICO图标找到了一个关联域名,很有意思的是,后台是个独立域名,和该区块链交易所的域名没有实质性的关联。

1612170266_6017c41a208eca5acd3dd.png!small

后台界面是这样的。

1612170299_6017c43b83f4f7d4e30c9.png!small

随便输入一个账户显示:

1612170328_6017c458c812b31676081.png!small

由此可以判断用户存在与否,后来试了各种用户名字典,都没有,在这里还有一点,爆破超过50次以后,所以发送的数据包都会失败,呜呜呜

于是猜测,管理员用户名应该是 *** 号码,经过后面测试, *** 邮箱也是用户名的登录范围。

1612170360_6017c478d03734606c996.png!small

对前面收集手机号, *** 邮箱等信息进行整理,顺带对 *** 号的关联手机号进行查询,最后获取到了一组,手机号+邮箱的组合。

1612170378_6017c48a91873bd213d2b.png!small

尝试登录,用户名存在后会显示:

1612170413_6017c4ad2c0838aaef989.png!small

经过尝试, *** 邮箱与手机号都可以登录该后台,但是, *** 邮箱需要邮箱验证码,手机号码需要谷歌验证码,注意,在这里,我通过社工,在历史密码中尝试出了登录密码。

1612170731_6017c5eb14e88fc845523.png!small

谷歌验证码,这种双因素认证我是没办法了,除非去把他手机偷过来,所以,只能通过 *** 邮箱验证码试试了,没办法,只能是智慧黑客,在线盗号了。

运气王就是这样,利用刚刚登陆后台的密码,在360极速浏览器尝试登录 *** 邮箱,显示 *** 环境存在风险?不是密码错误吗?感觉是对的。

1612170785_6017c62114e2440bd8ecf.jpg!small

然后想到一个问题,异地登录不行,最后通过在线沟通,利用火绒剑,在微信弹语音的方式,获取了该人的登录IP,查看位置,显示在深圳。

好家伙,这还能有假?直接上个深圳的 *** 。

1612170955_6017c6cb4ca232fa09362.png!small

设置 *** 之后发现还是一样的, *** 环境有问题,突然想到,可能是同浏览器的问题,于是呼,换了一个深圳的IP,换了一个谷歌浏览器登录邮箱,这次又不一样了。

1612175425_6017d841c536bee197fff.jpg!small

手机号和 *** 都关联上了,但是,你TM这不是在为难我胖虎?要逼我过去深圳偷手机才行么?

当然了,办法还是要想的,期间尝试了登陆 *** ,但是需要手机扫描二维码,所以放弃,既然不行,那就在换个IP,在换个浏览器,直接拉入了EDGE浏览器。

1612175485_6017d87dc5c42fc56719e.png!small

瞧瞧这可爱的大宝贝,居然成功登录了。

1612175629_6017d90d1107195947d38.png!small

最后顺手发送验证:

1612175636_6017d91469db2c7398ba8.png!small

相关文章

进博会创意短半地下片《绘梦东方》

     如果世界是画板,   它应该绚烂多彩。   然而单边主义、保护主义盛行,   突如其来的新冠肺炎疫情   更是给各国带来严重冲击,   世界仿佛被染成灰色。   复苏需要持续动力...

网上有能查询丈夫历史开房记录

. 宝宝说话口齿不清是最这个年龄段最常见的也是很普遍的问题。很多家长担心孩子一直这样下去。那么孩子口齿不清该怎么引导呢。下面友谊长存小编就来和大家说一说。 怎么样锻炼孩子口齿不清 1.锻炼孩子的...

微信怎么转账到QQ钱包

QQ和手机微信全是由腾讯官方设计方案发布的交友软件,彼此之间当然具备互通性,现在在微信中提升了一个作用,能够立即向QQ客户转帐。下边梳理的是应用支付宝转账到QQ钱夹的操作步骤,有兴趣爱好的小伙伴们能够...

该如何才能知道他人的开房记录 怎样查询老公的

1月9日消息,据国外媒体报道,就在媒体纷纷报道索尼被黑事件的同时,一场更为严重的网络攻击却被大众忽视了。一份圣诞节前发布的报告指出,有黑客攻击了德国境内的一间钢厂,入侵造成了物理设施的损坏。 发动此...

狐假虎威的寓言故事是什么(狐假虎威寓言故事原文)

  狐假虎威   在茂密的森林里,有一只老虎已经找寻食材。一只狐狸从老虎狮子身旁窜过。老虎狮子扑以往,把小狐狸逮到了。   小狐狸眼睛轱辘轱辘转一转,扯着喉咙问老虎狮子:“你敢吃我?”   “为何害怕...

如何找回女朋友删除聊天记录

. 孩子的肠胃不好引起消化不良导致孩子发烧怎么办?孩子的消化系统尚未完善,父母应该如何预防孩子不消化不良,孩子不消化发烧的原因是什么? 宝宝不消化发烧原因 中医学认为,饮食不当引起积食后,会导致...