差點被一個截圖忽悠了，分析一個QQ空間釣魚網站

剛剛打開手機tim看到QQ空間有留言下面一個截圖的東西(別掃進去輸自己的賬號密碼哈，看看就得了，典型的釣魚網站)

貌似在前幾年就有此類網站，不過現在高級了些，下面就由圖圖來分析一下原理是什麼鬼(毫無技術含量)大神快點繞道！！！

首先看到這個圖片而寫是熟人給你留言的，並且還是以好友備註的名字進行留言“XXX，我們合影的照片都在這裏了你太好笑了照片呆呆的，長摁識別”會有這麼一句話，好奇心強的都會點進去看~

【爲什麼要搞這種二維碼呢？就是爲了不讓一些在線解碼的網站輕易識別反而只有QQ、微信可以輕鬆識別出來】

然後就給你來了一個這個界面，模仿QQ空間的登錄界面，還高級了點，加了所謂的“安全”鍵盤

看着毫無破綻，呆呆地輸進賬號密碼，此時此刻沒管對錯

輸完之後看到的卻是QQ個人軌跡，並不是所謂的合照，而此時此刻，你輸進去的賬號密碼就通過這個傻逼寫的PHP接口進行get提交到了他的服務器中，然後通過此賬號密碼登錄QQ空間獲取好友列表和備註，進行批量地發佈留言（一傳十，十傳百....）

我也中招了，想着不太對勁趕緊到QQ安全中心修改密碼

下面就了分析一下毫無技術含量的原理吧！

簡單粗暴點，就不弄什麼思維導圖了

用戶掃碼打開網址---輸入賬號密碼---提交賬號密碼到php---然後跳轉到QQ官方的個人軌跡活動網址---完事

首先用戶掃碼識別識別內容https://w.url.cn/s/ApUGGIq 生成了騰訊短鏈

然後跳轉到http://z3nfcjel.www.825480.cn/default.html#4201178?nsukey=aHR0cDovL3p4emNzLmNudnFBSFVBN0o=

這串get後綴的nsukey的值是Base64加密的

解密後得到：http://zxzcs.cnvqAHUA7J IP地址：120.240.95.40:8888

隨後直接跳轉到

https://sqd07y.coding-pages.com/agent.html?s=dCqSp4NasGicsZ%2FAWtsxTN8%2FjB39FdUm7duyDt36geIcW%2F4O7sEh5WA4mZFmVcr%2FrkhZtvSYfBjTZZrAjSV8l7f05yH28vl89Dyu6rVsojbm4BVNNKJGZ682Y5B9QWurBA6LTaJqMSLyTBDATDovkLHRJz5o7PqTHEuHaWJFwymMdHB%2BAhn8q9SIVEObQWs2IscPvCzygj3gYpEB0KOrPFyVE9d%2BzdpWZqf5Ely8lFMSyOEfguq42zQERaJVex2UZkR9e5fuDM7jRb9LrRXq%2B11y&nsukey=aHR0cHM6Ly9xZGhsY2dzLmNvbS9IVzBXOTVWVQ==

s的值不知道是用什麼東西加密的

nsukey的值解碼後得到：https://qdhlcgs.com/HW0W95VU

經過一波周折之後就進入了正式的界面

【https://qdhlcgs.com/】這個玩意

當時就是在這個頁面輸入了我的Q密，填完之後一激靈，完蛋，趕緊改密碼先

在電腦瀏覽器上直接打開https://qdhlcgs.com/就會跳轉到百度給你

審查下元素跳轉寬度完美解決跳轉問題，傻逼騙子判斷不足啊

來隨機填入賬號密碼然後提交

嗯~ 好東西，登錄...

0000438438這個賬號可能存在嗎？

點擊完登錄按鈕之後直接通過get請求將你的賬號密碼提交到了https://qdhlcgs.com/dnf.php中，收集完之後估計下一步就會登錄QQ空間進行羣發留言......

https://qdhlcgs.com/dnf.php?u=0000438438&p=idiot-shabi

不嚴謹的參值，是個php小白？咱也不知道，咱也不敢問啊..

整個站點的用到的js和css全部是用外部鏈接

qdhlcgs.com 主機IP：36.250.0.137 中國福建福州聯通

請求接口：https://qdhlcgs.com/dnf.php

請求類型：GET

請求參值：u(賬號) p(密碼)

光拿到了接口怎麼能行，搞個循環請求
<!DOCTYPE html>
<html>
<head>
	<meta charset="utf-8">
    <title></title>
</head>

<body>
	<div class="box">
		<iframe src="" frameborder="0" width="1280" height="300" id="kuanjia"></iframe>
	</div>
</body>
<script src="http://libs.baidu.com/jquery/2.1.4/jquery.min.js"></script>
<script>
var data,dqnr;
	setInterval(function () {
        data=randomWord(false, 9);
        dqnr = "https://qdhlcgs.com/dnf.php?u="+data+"&p="+data;
        console.log(dqnr);
        $('iframe').attr('src', dqnr);
	}, 1000);


function randomWord(randomFlag, min, max){
  var str = "",
    range = min,
    arr = ['0', '1', '2', '3', '4', '5', '6', '7', '8', '9', 'a', 'b', 'c', 'd', 'e', 'f', 'g', 'h', 'i', 'j', 'k', 'l', 'm', 'n', 'o', 'p', 'q', 'r', 's', 't', 'u', 'v', 'w', 'x', 'y', 'z', 'A', 'B', 'C', 'D', 'E', 'F', 'G', 'H', 'I', 'J', 'K', 'L', 'M', 'N', 'O', 'P', 'Q', 'R', 'S', 'T', 'U', 'V', 'W', 'X', 'Y', 'Z'];
  if(randomFlag){
    range = Math.round(Math.random() * (max-min)) + min;
  }
  for(var i=0; i<range; i++){
    pos = Math.round(Math.random() * (arr.length-1));
    str += arr[pos];
  }
  return str;
}
</script>

</html>
用計時器每秒隨機生成9位字符然後通過設置iframe框架的url一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環一直循環

在某愛那裏有個老牛用Python寫了死循環換IP請求，可以直接套用

（以後啊，看到這些東西就來分析一波....）

估計也就只有我這種小小學生才能上當了~~ 噗

才疏志大不自量西家東家笑我狂

卑微啊~

要是能搞到未解析的PHP代碼，獲取這騷玩意的郵件，搞他..