搜索

[27332] 2020-04-13_关于某黑灰产平台的通用XXF头攻击漏洞

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-19
2020-04-13_关于某黑灰产平台的通用XXF头攻击漏洞 关 于 某 黑 灰 产 平 台 的 通 用 X X F 头 攻 击 漏 洞 原 创   n e a r s e c   N e a r S e c   2 0 2 0 - 0 4 - 1 3 点 击 上 方 蓝 字 点 击 上 方 蓝 字     关 注 我 们 吧 关 注 我 们 吧 0 x 0 1   前 言 前 言         众 所 周 知 的 发 卡 平 台 是 属 于 把 数 字 商 品 做 成 自 动 化 交 易 的 平 台 ， 发 卡 平 台 在 售 的 灰 色 商 品 主 要 分 为 账 号 类 ( 邮 箱 账 号 、 会 员 账 号 等 ) 、 影 视 会 员 卡 密 类 ( 视 频 会 员 充 值 ) 、 虚 拟 商 品 类 ( 刷 钻 、 刷 流 量 、 游 戏 黑 号 ) 、 软 件 技 术 类 ( 各 种 破 解 A P P ) ， 满 足 用 户 的 刚 需 。         发 卡 平 台 分 为 上 游 下 游 ， 上 游 为 供 货 商 ， 下 游 为 代 理 商 。 这 些 上 游 大 多 是 通 过 薅 羊 毛 进 行 转 售 ， 把 资 源 整 理 后 集 中 在 发 卡 平 台 中 列 出 ， 供 处 在 产 业 链 下 游 的 代 理 商 线 上 批 量 采 购 ， 下 游 再 去 销 售 从 中 赚 取 差 价 ，   而 上 游 赚 的 是 纯 利 润 。

        这 些 代 理 商 都 是 在 后 台 添 加 商 品 ， 以 卡 密 形 式 自 动 发 货 ， 俗 称 自 动 发 卡         从 事 灰 色 产 业 的 供 货 商 主 要 聚 集 在 Q Q 群 等 社 交 渠 道 ， 每 家 都 会 有 几 个 自 己 的 Q Q 群 ， 将 发 卡 平 台 的 商 品 链 接 群 发 至 有 购 买 意 向 的 群 体 中 ， 购 买 群 体 ( 下 游 代 理 商 、 个 人 ) 可 以 自 行 完 成 购 买 。
        我 们 观 察 了 部 分 发 卡 平 台 ， 接 触 发 卡 平 台 交 易 的 黑 灰 产 群 体 ， 所 以 有 了 下 面 的 水 文 ， 欢 迎 各 位 大 佬 前 来 吐 槽 ~ 0 x 0 2   过 程 过 程         上 游 供 货 商 大 概 可 以 理 解 为 生 产 批 发 黑 灰 产 商 品 的 厂 家 ， 由 于 产 业 链 分 布 不 均 匀 ， 大 大 小 小 的 代 理 商 异 常 之 多 ， 且 难 追 踪 来 源 ， 经 常 不 能 确 定 分 级 ， 所 以 先 从 下 游 代 理 商 开 始 入 手 ， 一 探 究 竟 。 首 先 注 册 用 户 进 入 个 人 中 心 ， 对 功 能 点 进 行 常 规 测 试 ， 尝 试 进 入 后 台 找 到 提 交 工 单 功 能
系 统 会 验 证 订 单 是 否 存 在 ， 不 存 在 即 不 允 许 提 交 工 单 找 到 商 品 进 行 购 买 生 成 订 单 号 即 可
在 工 单 内 容 处 插 入 p a y l o a d
查 看 提 交 的 工 单 ， 确 认 可 以 执 行 而 后 通 过 平 台 的 C S S 特 征 ： / s t a t i c / i n d e x / x x x x / x x x x x . c s s   搜 索 同 类 型 平 台
对 同 类 型 平 台 进 行 批 量 撒 网 ， 漫 长 的 等 待 后 . . . . . . . B u r p S u i t e 设 置 全 局 C o o k i e ： P r o x y - O p t i o n s - M a t c h   a n d   R e p l a c e 开 启 代 理 后 访 问 后 台
在 三 方 对 接 功 能 中 发 现 一 家 供 货 商 平 台 看 这 销 售 量 ， 基 本 可 以 确 定 是 上 游
注 册 手 机 用 户 登 录
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理