KĂŒrzlich endete ein weiterer NeoQuest .
Unter dem Schnitt ist die Analyse der dritten Aufgabe im Zusammenhang mit der Suche nach Web-Schwachstellen und ein bisschen Phishing. Ich frage mich, wie ich den Telegramm-Bot austricksen und ihn dazu bringen kann, den SchlĂŒssel zu teilen. Dann willkommen bei cat.
Der Text der Aufgabe enthÀlt einen Link zum Telegramm-Bot (der aus irgendeinem Grund als Kanal bezeichnet wurde).
Der Bot sagt uns, dass er gerne auf dieser Seite rumhÀngt . Mal sehen, was da ist:
Login und Passwort sind erforderlich. Wenn Sie sie wahrscheinlich erkennen, können Sie den SchlĂŒssel erhalten. Gehen wir zurĂŒck zum Bot und versuchen, mit ihm zu plaudern.
Der Bot reagiert nicht auf Befehle wie
/ start oder
/ help sowie auf Medien (Bilder, Video, Audio).
Beantwortet Textnachrichten mit einer zufÀlligen Antwort aus der Liste.
Aber die Links reagieren immer gleich:
Und das ist verdÀchtig. Wir versuchen, einen Link zu Olympia zu senden und eine weitere interessante Antwort zu erhalten:
Die Zeitverzögerung zwischen der ersten und der zweiten Antwort deutet darauf hin, dass der Bot versucht, diesem Link zu folgen. Wir mĂŒssen also nur versuchen, den Bot dazu zu bringen, unserem Link zu folgen, damit er dies als Link zu Olympia betrachtet.
Wir werden Olympia genauer studieren. Versuchen wir, einen anderen Abschnitt zu öffnen, z. B. 213.170.100.214/messages . Eine Umleitung zu 213.170.100.214/login?next=messages erfolgt . Ja! Weiterleiten! Was wir brauchen, um einen Phishing-Link zu erstellen.
Als nÀchstes brauchen wir eine Art Hosting, das unser Phishing Olympia hosten wird. Ich hatte eine solche, also blieb nur eine Seite zu erstellen, die einfach alle Anforderungsparameter in einer Datei speichert.
PHP-Code<? file_put_contents('request.txt', print_r($_REQUEST, true)); ?>
Wir versuchen es in der Stirn:
Und es scheint, dass es dem Bot gefallen hat, aber tatsÀchlich kommt die Anfrage an den Server nicht. Dies liegt wahrscheinlich an http am Anfang. Dann geben wir das Protokoll nicht an:
Hier ist es, wir haben Fortschritte gemacht. Der Bot hat die Seite wirklich besucht, der Eintrag in request.txt wurde angezeigt, obwohl er leer war, weil er unsere Phishing-Seite nicht mochte.
Im weiteren Verlauf geben wir anstelle einer leeren Seite das gleiche HTML wie die ursprĂŒngliche Olympia-Website:
Ein intelligenter Bot, eine Seite ohne Stile, sehen Sie, es scheint verdĂ€chtig. Nun, es macht uns nichts aus, die Bild- und Stildateien auszufĂŒllen. Jetzt ist unsere Phishing-Site optisch identisch mit Olympia. Vielleicht funktioniert es jetzt?
Und es scheint, dass der Bot nichts Interessantes beantwortet hat, aber schauen wir uns die Datei an, in der die Anforderungsparameter gespeichert sind, und dort:
Array ( [username] => godmom [password] => ed_ax3kWbdn3pjje5V5 )
Sie mĂŒssen sich nur noch bei Olympia anmelden und den begehrten SchlĂŒssel erhalten