🏳️‍🌈 👬 🍷 निक्वेस्ट 2019: हेवन के साथ कनेक्शन 🕴🏽 🧗🏼 ☄️

हाल ही में एक और NeoQuest समाप्त हुआ।

कट के तहत वेब कमजोरियों की खोज और फ़िशिंग के एक बिट से संबंधित तीसरे कार्य का विश्लेषण है। मुझे आश्चर्य है कि टेलीग्राम बॉट को कैसे छलें और इसे कुंजी साझा करें? फिर बिल्ली का स्वागत है।

कार्य के पाठ में टेलीग्राम बॉट का लिंक होता है (जो किसी कारण से चैनल कहलाता था)।

बॉट हमें बताता है कि वह इस साइट पर घूमना पसंद करता है। आइये देखते हैं क्या है:

लॉगिन और पासवर्ड की आवश्यकता है। शायद उन्हें पहचानते हुए, आप कुंजी प्राप्त कर सकते हैं। चलो बॉट में वापस जाएं, उसके साथ चैट करने का प्रयास करें।
बॉट आदेशों की तरह / शुरू या मदद नहीं करता है , और न ही यह मीडिया (चित्र, वीडियो, ऑडियो) पर प्रतिक्रिया करता है।
सूची से एक यादृच्छिक प्रतिक्रिया के साथ पाठ संदेश का जवाब देता है।

लेकिन लिंक हमेशा एक ही जवाब देते हैं:

और यह संदिग्ध है। हम ओलंपिया के लिए एक लिंक भेजने और एक और दिलचस्प जवाब पाने की कोशिश करते हैं:

पहले और दूसरे उत्तर के बीच के समय की देरी बताती है कि बॉट इस कड़ी का पालन करने की कोशिश कर रहा है। इसलिए हम सभी को हमारे लिंक का अनुसरण करने के लिए बॉट प्राप्त करने की कोशिश करनी चाहिए ताकि वह इसे ओलंपिया की एक कड़ी मानें।

हम ओलंपिया का अधिक विस्तार से अध्ययन करेंगे। आइए, कुछ अन्य खंड खोलने की कोशिश करें, उदाहरण के लिए 213.170.100.214/messages । 213.170.100.214/login?next=messages पर पुनर्निर्देशित होता है । अहा! पुनर्निर्देशन! हमें एक फ़िशिंग लिंक बनाने की आवश्यकता है।

अगला, हमें किसी प्रकार की होस्टिंग की आवश्यकता है, जो हमारे फ़िशिंग ओलंपिया की मेजबानी करेगा। मेरे पास एक ऐसा था, इसलिए यह केवल एक पृष्ठ बनाने के लिए बना रहा, जो फ़ाइल के सभी अनुरोध मापदंडों को सहेजता है।

Php कोड

<? file_put_contents('request.txt', print_r($_REQUEST, true)); ?>

हम माथे में कोशिश करते हैं:

और ऐसा लगता है कि बॉट ने इसे पसंद किया है, लेकिन वास्तव में सर्वर के लिए अनुरोध नहीं आया है। यह शायद शुरुआत में http के कारण है। तब हम प्रोटोकॉल का संकेत नहीं देंगे:

यहाँ यह है, हम उन्नत किया है। बॉट ने वास्तव में पृष्ठ का दौरा किया, request.txt में प्रविष्टि दिखाई दी, हालांकि यह खाली था क्योंकि वह हमारे फ़िशिंग पृष्ठ की तरह नहीं था।

आगे बढ़ते हुए, एक खाली पृष्ठ के बजाय हम इसे मूल ओलंपिया वेबसाइट की तरह ही html देंगे:

एक स्मार्ट बॉट, शैलियों के बिना एक पृष्ठ, आप देखते हैं, यह संदिग्ध लगता है। खैर, हमें कोई आपत्ति नहीं है, छवि और शैली फ़ाइलों में भरें। अब हमारी फ़िशिंग साइट ओलंपिया के समान है। शायद अब यह काम करता है?

और ऐसा लगता है कि बॉट ने कुछ भी दिलचस्प जवाब नहीं दिया, लेकिन चलो उस फ़ाइल को देखें जो अनुरोध पैरामीटरों को संग्रहीत करती है, और वहां:

 Array ( [username] => godmom [password] => ed_ax3kWbdn3pjje5V5 )

यह केवल ओलंपिया में लॉग इन करने और प्रतिष्ठित कुंजी प्राप्त करने के लिए बनी हुई है

निक्वेस्ट 2019: हेवन के साथ कनेक्शन

More articles: