Avant-propos 0x01
Les choses proviennent d'un il y a quelques jours, je suis un homme, nous devons l'aider à vote par appel PYQ, a déclaré que les riches récompenses géant.
Pour être honnête, je ne crois pas que ce genre de chose est un rêve devenu réalité. . .
Et le public n'est pas numéro bien connu, l'achat, je l'ai entendu, je n'ai pas voté. . .
~~~~~~ ~~~~~ bassin versant IQ
Deux jours plus tard, il m'a dit qu'il a triché, a dit d'aller à un vote sous une brosse de pinceau pour placer que des votes par appel, après le brossage d'abord, mais pas plus après un certain temps, brosse avant et en arrière à plusieurs reprises, a pris TOP3, puis obtenir le droit d'acheter quelque chose, est enfin disponible à l'achat, mais vous pouvez acheter est fAKE, coulé dans les milliers et obtenir un 300, vous pouvez acheter un faux, on peut dire que le gang a gagné des milliers de pièces. . . . .
Ceci est juste une personne, je pense triché beaucoup, donc je dois aider la vengeance de copain, afin de vous aider à trouver les routines Crooks et ligne de fond, a commencé la route de couvert.
0x02 à leur vie en danger
L'objectif est: Non publique *****
Cela a un nouveau sondage, ainsi que des affiches, très cool oh. . .
Le point est allé et a vu à peu près la participation des personnes, mais il est un saut vers une URL
http: //toupiao.****.com/index.php g = Wap & m = Vote & a = index & id = 16 & token = E ******* H?
Nous avons trouvé que le service à la clientèle micro-canal: QW ***** un
Avant d'ajouter un vx d'onde, échange approfondi sur les sentiments
Tout d'abord, je d'abord participé au vote, afin de mieux se comprendre
On a ensuite ajouté au service à la clientèle micro-canal
Peut être vu, ils peuvent gagner de l'argent en vendant des votes, un poil 2, 200 voix est 1k
Ensuite, j'ai trouvé mon succès à la page d'accueil, mais est 0 votes, un peu embarrassé
Pots appelés plusieurs amis pour me aider baissai vote
Afin de laisser plus de gens ne soyez pas trompés, j'ai décidé d'être leurs propres châtaignes
En conséquence, la brosse 300 votes (mon vrai argent !!) pour essayer son escroquerie
Bientôt, 300 voix sont allées à, chaque minute est devenu TOP3
N'a pas duré longtemps, après plus d'une heure, et a ouvert l'écart entre le nombre de votes, est allé à l'arrière, TOP6
Puis, je suis allé le voir, il a continué à chercher des votes brosse o () o
Puis une deuxième arrivée
Avec succès maintenu top1, je sais qu'il va continuer ma routine, alors je suis allé dans le classement et ainsi étendrai vers le haut. . . Ah ha, ha
Eh bien, regardez presque, regardé en arrière une vague de classement, est tombé à la troisième
chaud Shabi, puis je suis allé le voir et voir comment il parle
Le montant devrait routine suivante devrait ressembler à ceci:
Après avoir été tiré noir après avoir payé 500 $, 200 $, pour obtenir le droit d'acheter le prix initial, puis passer 1399, double envoyer faux sur, puis tirer le noir, eh bien, maintenant je veux récupérer, je lui ai donné 200 $, bien sûr, Je chasse si elle ne revient pas, ne sont pas, quand vous nourrir le chien, o () o
0x03 Attaque sur Titan
Routines doivent savoir, comme d'habitude le prochain démarrage de votre site Web, prendre une vague de tests. . .
Par beaucoup de ping, nous avons trouvé cdn
On peut dire que beaucoup d'entre cdn ont apporté la fonction défensive. .
Donc, je dois trouver l'adresse IP réelle, l'étape suivante est un bon test
Vous pouvez vous référer à ces méthodes
https://bbs.ichunqiu.com/thread-10614-1-1.html
J'ai trouvé la véritable histoire en regardant ip dns records
Ensuite, continuez, je vais le trouver en arrière-plan. . . . Il a été trouvé
http: //1**.**.***.*7/index.php est son arrière-plan
J'ai vérifié les whois
A fait partie des propriétaires d'information
Nom: w ***** n
Numéro de téléphone: 1330 ******
J'ai utilisé les messages précédents dictionary Builder, puis ajouté des choses aux travailleurs sociaux
génère ensuite un dictionnaire simple mot de passe faible
Puis jeter burp dynamitage
Pour obtenir un mot de passe avec succès
S ***** t @ 888888
Landing retour
Les joueurs trouvés dans les paramètres
Bien sûr, vous pouvez modifier le nombre de voix, Oh, les porcs ont deviné
De plus une voix, maintenez d'abord, puis modifier un mot de passe de vague, laissez-le changer à votre propre base de données,
Parce que je trouve ce cms bois ont oublié le mot de passe pour cette fonction, ah ha ha
Puis-je télécharger des images à couper par 00, a remporté la coquille
Vous pouvez vous référer à cet article
https://bbs.ichunqiu.com/thread-13601-1-1.html
Shell Adresse:
http: //1*********7/uploads/vote/20180725/2018***054_1*26.php
Mot de passe Exp1ore
Eh bien, presque, une heure et demie, il a estimé qu'ils pourraient aussi son mot de passe, donc je vais aller dormir, le lendemain pour continuer
Ah ha ha ha ha
Il se leva tôt, continuer à ouvrir sec
Dans le dossier \ Data \ conf \ db.php configuration découverte base de données de l'information
Connecté à la base de données, regardez ce que la base de données
Il a vraiment changé le mot de passe, après décryptage, a constaté que transformé en un admin123, il est très SKR
Et puis je l'ai trouvé était un hôte virtuel, a le droit de mettre en place. . .
Ensuite, trouver son atterrissage déterminer l'adresse IP
requête IP lancée locale, http: //www.chaipip.com/ip.php
171. ** ** ** 1
street View
On estime que ici
Afin de vérifier à nouveau,
Pour être honnête, je ne crois pas un peu ip localiser ce genre de chose, sujette à l'erreur, alors ils ont utilisé l'ancienne méthode
Procédé émail
https://bbs.ichunqiu.com/thread-33742-1-1.html
Puis, quand il est connecté
Eh bien, je trouve que à peu près a frappé l'adresse car tout le monde se rendra index.php
Ainsi, aucun moyen, je devais ouvrir une session dans le dépistage du Shanxi et l'adresse du ..
Montant, Namiki, mais ont jugé qualifié, je suppose que l'administrateur ne doit pas connecté, connectez-vous ou un ordinateur
Cependant, nous avons encore se réunir à nouveau une fois la chance,
Je compte ainsi utiliser la trompette ont participé au vote, alors pour lui chercher, qu'il le revoir
le sommeil Nap vient de terminer, prêt à prendre une chance de
Cool, voir son examen en utilisant un téléphone mobile, très SKR
coup réussi, jeté dans la latitude et la longitude de la requête de vérification de lieu
Les coordonnées longitude: 197 ** 5 ***
La latitude de coordonnées: 3 * 7 **** .7
Accédez à la zone Taiyuan *** *** **** communauté Rue
Avec presque IP détectent, il est ici
Alors, pas encore fini, cela ne suffit pas
Tout à coup, je pense que cela est un hôte virtuel, basé sur mes années d'expérience de l'implantation
nom d'utilisateur FTP est le nom du répertoire d'un répertoire web
Donc, compte FTP est ftp6242335, le mot de passe peut être son mot de passe habituel, est son mot de passe de connexion
Essayez un peu, sur la connexion réussie
Puis je suis allé à ses routines de numéro de téléphone cellulaire, et le même aspect que l'on trouve avec le whois pas
Nima, ne pas deviner son nom, quel est le numéro de téléphone, dire, et a trouvé dans le même avec le whois
Le numéro de téléphone est lié à son numéro de vx, le nom Baidu n'a pas non plus d'informations
Numéro de téléphone inversée LOOK son qq
20 ****** 1, a trouvé sa pâte il, coller son nom est I love ***
*** on estime que son béguin? Petite amie? Ex-petite amie?
On estime que l'école ne sont pas sortis de fraude
Mais sa préoccupation affichée il me fait vraiment peur un peu
Il est peut-être un grand noir? ? plat de poulet grelottant dans ...
Continué à chercher sa boîte aux lettres et a trouvé son CV sur un vote chantier
Son expérience très cohérente, mais la recherche d'un vrai travail, pourquoi tricher? ? ?
Salaire aussi 6k? ? Même lorsque les opérateurs de site Web? ? Je ne sais pas où est la confiance? ?
Site Web vulnérabilité faux-mail bois
Donc, je devais devenir un déguisement de ressources humaines d'une entreprise, parce qu'il a besoin d'argent, donc lui dire d'obtenir un emploi bien rémunéré,
La nécessité de fournir plus de détails CV pour obtenir plus d'informations
Asseyez-vous et attendre et voir ne mordent pas? ?
Grignotage les graines en silence pendant plusieurs attendu heures, la morsure
Il a seulement donné le numéro de carte d'identité, le bois a une relation
Un marché nuage nuage à l'interface vendre API peut vérifier l'image ID (ombrée)
L'image est base64-traitées, cliquez sur OK traitée
Ajouter des données: image / png; base64, et \ / à / sur ok
frais
Ensuite, mais aussi faire la bonne chose
gel Pay application payante Paypal, l'argent payé à travers comme
Je l'ai essayé avec son site web connexion mot de passe Alipay son
Parce qu'une personne normale sensibilisation à la sécurité est faible, comme d'utiliser un mot de passe pour vous connecter beaucoup de sites
En conséquence, le succès de la
J'ai demandé à un cousin, dit le groupe au printemps et à l'automne, le mot de passe de paiement peut être une année d'anniversaire haute probabilité de naissance +
Essayez un peu, 950713, 200 qui m'a été envoyée, à mettre devant lui sortir, puis
Je le jure, je viens d'avoir à lui 200 $, je ne pouvais même pas mes amis triché pots d'argent ne se sont pas ....
Ensuite, il est de geler son Alipay
https://110.alipay.com/safety/emergency/quickReportLoss.htm?reportFrom=AccountLose
gel TenPay
Ensuite, il gelé avec succès, cool
Ensuite, les données vider le contenu d'un serveur de base de données +
Connexion FTP, puis raccrochez la force de chargement de la page noire, ah ha
Vous recherchez lui parler plus
0x04 Postscript
Ainsi que la Vierge qui disent que je ne suis pas alarmer le BBB, je le suivi de suivi de la question, s'il a abandonné, je ne viendrais pas signaler le (autrefois avait vraiment fastidieux), mais aussi longtemps qu'il une fois engagé, je au moment de l'envoyer en elle. Mon cur était plein de paix et d'amour, ah ha ha.
Je veux juste dire, ne pensez pas votre truc tout-puissant, je veux juste vous dire, ma non-droit technique, SKR, SKR
~ ~ ~ ~ ~ ~ ~ ~ Mise à jour ligne de démarcation
Selon mon ami que les commentaires stupides riche seconde après le réveil, l'argent lui a été retourné, et je ne souligner qu'une personne, indiquant au moins la plupart des gens, il devrait avoir l'argent, soulagé.
Auteur: Exp1ore, tiré à part: https: //bbs.ichunqiu.com/forum.php mod = viewthread & tid = 43341 & highlight =% E9% AA% 97% E5% AD% 90?
