對某大佬的一次扒皮

前言

編輯器有點問題，我截圖有點大，上傳以后圖片縮小了，所以大家看起來可能會有點模糊，如果看不清楚圖片的話，在圖片上點右鍵，然后在新窗口打開圖片就能看到清晰的圖片了。

搞安全這一行的，有多少人面對各種誘惑能不動聲色的，又有多少人在法律邊緣試探的。

很多人從白帽變成了黑帽，但是多數人還是堅守這份凈土，他們就是“白帽黑客。
這也是很多安全公司招聘的時候都會有一個要求“沒有黑產經歷的”，為什么這么說呢？

因為人一旦走上這條路，以后見庫就想脫，見shell就想掛個暗鏈等等。

下面給大家分享一下這個事件吧

基本信息收集

3月份就拿到控制權了，至今3個多月了，之前只大概看了下，發現他桌面有xise，菜刀等等工具就知道這又是一位大黑闊了，然后就備注了下，后面沒時間一直沒繼續深入，請看鍵盤記錄日志最開始的日期就知道了.

通過遠控翻文件夾，桌面發現一個比較有意思的txt文件，下載以后，里面有各種蜘蛛池服務器，掃shell服務器、還有一些不知道用來干啥的服務器，上面就掛了個新浪博客的群發工具。

然后監視屏幕發現他登錄了QQ，但是看不到QQ號碼，這里有辦法可以看到QQ號碼，那就是QQ的聊天記錄文件夾，在你安裝QQ以后，登錄的QQ號碼會在有個目錄下以你的賬號生成一個文件夾，用來存放你的聊天記錄，文件等等數據。

目錄大概如下，不過系統不一樣可能路徑也不一樣。
以下是win7 x86的系統
C:\Documents and Settings\Administrator\My Documents\Tencent Files\

不過坑爹的是他這里登錄的賬號太多了，我們并不清楚他目前再用的是哪一個QQ號碼。

所以只能等他打開QQ的面板，然后看頭像，記住頭像的樣子，然后用你的QQ挨個去查找他，如果查找出來的頭像和他這個一致，說明這就是他現在用的QQ了。

看下大佬所在的QQ群，基本都是搞黑產的。

懟蜘蛛池和服務器

因為在他桌面發現的那個txt文件，里面記錄了很多服務器的ip、賬號、密碼等等敏感信息，對我們來說就很簡單了，只要通過遠控監視大黑闊沒有登錄服務器的時候，我們嘗試登陸上去就行。

其中有臺服務器還掛了個登錄狀態的百度云盤

然后發現里面有這些東西。

機智的表哥們肯定會說 “我屮”，趕緊把他里面的文件全部選中，然后分享，然后保存到自己的云盤里面，再然后取消分享記錄，一氣呵成.....
咳咳，作為老實人的我們，怎么做不太好吧？
然而你猜我真的這么做了嗎？哈哈（滑稽臉）......

收集大佬個人信息

前面得到的QQ號查了下，發現是個小號，沒啥信息。
然后開始懟路由器，如果家用路由器的話，里面可能會有撥號上網的賬號密碼。
這里懟路由器的思路和我以往的文章一樣，通過ew反彈代理出來，然后在你本地就可以訪問他的內網了。
詳細用法見我之前的這篇文章，這里就不再敖述了。

不過大佬就是大佬，人家用的4G無線上網卡（這東西都快成搞黑產的標配了），用的有可能是那種不用實名的流量卡，很難查到。

在他的華為上網設備里面，發現短信通知里面有這個上網卡對應的手機號碼。

大佬的套路

大佬都是晚上開始干活，他用掃shell的服務器掃到可用的webshell以后，在他這臺電腦上掛上vpn，然后開始給這些網站掛暗鏈，（具體功能我也不清楚，因為我不是做黑帽SEO的）

然后這些網站的百度收錄里面title就會變成 開發票找xxx之類的，找小jie上某某網站等等。

最后，希望這位大佬沒混愛必火安全網，如果看到這文章的話，不要給我送快遞，我上有老下有小的寫個文章騙個稿費也不容易......