-
-
[原创]闲鱼钓鱼黑产xss反杀
-
发表于: 2019-11-29 10:41
-
关于灰色产业，打击闲鱼钓鱼，转转钓鱼。本人实战，帮助别人，防止被骗
1、 去闲鱼搜索明显低于市场价的商品，商品介绍中有添加微信或者qq的
2、 添加qq，验证信息就说过来买飞机，然后就会加你了
3、 得到链接以后，就开始搞了
手机打开链接以后，很像真的（无人机链接丢了，然后我骗了他的电脑链接，小白绝对认为真的）
电脑打开
4、点击我想要
然后添加地址
新增地址
5、去xss公开测试平台，申请一个账号，创建xss代码
6、插入代码以后，
确认下单。跳到支付宝支付页面
不要支付
7、等几分钟
（这个是自己cookie，没有用）
7、后台那边登录查看了我们提交的xss,地址
8、掏出火狐里面的hackbar
9、顺利进入后台
10、至于怎么提权，还没找到方法，值得是，可以查看到一些订单，昨晚看到有三个受害者创建订单，通过拨打电话，告知不要付款。
希望互联网安全行业，公安行业，建立反诈骗组织，碰到这种钓鱼，直接封掉。本人没有权限直接封掉网站，只能尽自己一份力量。告知即将受害的人。
一直在纠结一个问题，我们做反诈骗入侵网站，是否我们触犯了非法入侵计算机罪呢？
最后于 2021-1-19 14:16
被kanxue编辑
，原因：
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
楼主提的问题：一直在纠结一个问题，我们做反诈骗入侵网站，是否我们触犯了非法入侵计算机罪呢？ 我以个人的知识水平回答一下吧： 1、黑吃黑被捕入狱的案例比比皆是，可以自己搜索相关报道。附图
2、合法的流程为：办案机关找到公司、组织、个人，出具协查函，写清协助范围，在规定的范围内进行渗透，才受法律保护。可百度搜一下“协查函” 通俗的理解，就是你知道张三杀了人，你发现了张三的踪迹，你也不能够自行抓他（你没有拘捕权限，可构成非法拘禁罪），也不能打他（可构成故意伤害罪），你更不能自行杀他（可构成故意杀人罪），大概就是这意思。 |
|
|
感谢科普，不过好久没来看这里了 |
|
|
|
|
|
|
