最近做项目的时候,遇到一个区块链交易所,从渗透这块走估计挺难,所以花了不少时间,打入敌人内部获取了不少信息,通过观察发现几个疑似管理员,在微信群里深入交流之后,获取了不少 *** 和 *** 账号。
给大家po一张手工写的一些重要信息,全部打码了,整整两张A4纸,请大家忽略我这一手的草书,谢谢!
这里重点讲如何突破的,在获取到信息之后,结合区块链网站信息,居然没有找到后台,在经过一段时间的排查,通过ICO图标找到了一个关联域名,很有意思的是,后台是个独立域名,和该区块链交易所的域名没有实质性的关联。
后台界面是这样的。
随便输入一个账户显示:
由此可以判断用户存在与否,后来试了各种用户名字典,都没有,在这里还有一点,爆破超过50次以后,所以发送的数据包都会失败,呜呜呜
于是猜测,管理员用户名应该是 *** 号码,经过后面测试, *** 邮箱也是用户名的登录范围。
对前面收集手机号, *** 邮箱等信息进行整理,顺带对 *** 号的关联手机号进行查询,最后获取到了一组,手机号+邮箱的组合。
尝试登录,用户名存在后会显示:
经过尝试, *** 邮箱与手机号都可以登录该后台,但是, *** 邮箱需要邮箱验证码,手机号码需要谷歌验证码,注意,在这里,我通过社工,在历史密码中尝试出了登录密码。
谷歌验证码,这种双因素认证我是没办法了,除非去把他手机偷过来,所以,只能通过 *** 邮箱验证码试试了,没办法,只能是智慧黑客,在线盗号了。
运气王就是这样,利用刚刚登陆后台的密码,在360极速浏览器尝试登录 *** 邮箱,显示 *** 环境存在风险?不是密码错误吗?感觉是对的。
然后想到一个问题,异地登录不行,最后通过在线沟通,利用火绒剑,在微信弹语音的方式,获取了该人的登录IP,查看位置,显示在深圳。
好家伙,这还能有假?直接上个深圳的 *** 。
设置 *** 之后发现还是一样的, *** 环境有问题,突然想到,可能是同浏览器的问题,于是呼,换了一个深圳的IP,换了一个谷歌浏览器登录邮箱,这次又不一样了。
手机号和 *** 都关联上了,但是,你TM这不是在为难我胖虎?要逼我过去深圳偷手机才行么?
当然了,办法还是要想的,期间尝试了登陆 *** ,但是需要手机扫描二维码,所以放弃,既然不行,那就在换个IP,在换个浏览器,直接拉入了EDGE浏览器。
瞧瞧这可爱的大宝贝,居然成功登录了。
最后顺手发送验证:
本文目录一览: 1、苹果手机里面的和平精英选择了系统头像怎么改 2、不知道怎么了 刚在国际服的和平精英玩一哈 突然有人另一台手机登录了 还逼了我几次 这tm还不算什? 3、用什么隐藏软件才能把...
柳泉居豆沙包(西单长安街店)地址:西城区西长安街22号(近西单邮局)柳泉居豆沙包(新街口店)地址:西城区新街口北大街115号柳泉居豆沙包(西直门店。 柳泉居的豆包在西四北六条街面上。其他的生意只能等地...
云顶之弈10.16六星守法是一款十分强势的阵容,那么云顶之弈10.16六星守法阵容怎么玩呢,还不清楚的小伙伴们快来看看这篇关于云顶之弈10.16六星守法阵容玩法技巧,一起来看看吧。 云顶之弈10.1...
环球深观察丨从欧洲到中美洲 美国政策加剧全球难民危机 当地时间10月5日至9日,联合国难民署第71次执委会会议在瑞士日内瓦举行,重点探讨新冠肺炎疫情下的人道主义救援等问题。有关专家表示,美国...
一、网赌输钱了能追回吗怎么找黑客 1、怎么样在微博上黑客劫持的怎么变现他们不仅是计算机革命的重要参与者,而且是计算机革命的主角和英雄。英语是同一个词。网赌输钱了能追回吗名册加入另一个入侵者是那些利用互...
意思:1、(食物或饮料)低热量的,低糖的,低脂的;低酒精的。2、弱化的;简化的;缩水的。3、类似…的劣质品。读音。 It'sokay的中文意思:没关系;没事;好的。例句:No,it'sokay.it'...