爽文篇--网安人接诈骗电话，攻防实录

原创

kingman
kingman

kingman安全

2026年10月20日 15:16
广西

去阅读

声明:

由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者不为此承担任何责任。同时所有相关行为均已取得授权，未经作者同意禁止转载

前言

诈骗貌似在身边不常见？

各类新闻里频频曝出有人受骗受损，反复提醒大家提高防范意识

可如果

搞诈骗的人碰上搞网络安全的人

你说这个节目有没有搞头

最近团队有些业务上的往来

泄露了手机号

结果诈骗、广告几乎天天不断

背景

下午两点、一通电话吵醒了正在和周公约会的博主

\"这边是税务的，贵单位尚未完成税务登记，若不及时办理将会产生相应处罚……\"

\"接下来要你打开微信关注xxx然后进行申报\"

主包是良好市民啊！怎么可能不交税呢！

博主用的是水果手机打着电话没网，于是口头答应挂了之后去看看

不看不要紧一看简直漏洞百出

（这是后截的图、现在已经下架，当时没有这些提示的）

主包看到这个小程序备案的时候

除了身为安全从业者的神经敏锐的察觉是骗子之外

剩下的就是一脸问号了

跨地区的公司办本地区的税？

还不是什么官方的公司

这个点击报送是个超链接

那自然是三板斧先上一下

信息收集

保险起见先查查备案，万一人家只是无良呢？

万一客服小姐姐是被逼的呢？

核实完毕，确认属于诈骗站点，那不用说了

渗透启动！

信息收集大致的情况我给各位股东汇报一下

1.诈骗分子的 IP 下绑定了数十个域名

2.域名多数以数字分别基本都叫???.help

3.这些域名点击之后基本上都指向三种结果

fastadminxxxadmin宝塔创建成功页

开打

柿子专挑软的捏呗，那就这个xxxAdmin搞一搞

好消息：有现成的CVE；坏消息：后台的sql注入权限配置死了写不了shell

好消息：源码里写了后台文件可以重命名，那岂不是上传图片马重命名成php直接getshell？

好消息：弱口令admin 123456直接进后台

坏消息：骗子的代码写得有问题文件上传报错了

这.......

代码审计

像我们之前文章提到的

做个 “脚本小子”—— 代码审计入门轻松篇

虽然说前台洞>后台洞（危害程度）

但简易程度上来说后台出洞概率要高于前台

后台更容易发现可利用缺陷

后台常包含代码执行、内容编辑等高危接口

TP框架控制器默认走的是路由

除非有特殊限制 不然控制器的访问方法都是有规则的

例如

那么路径就应该是xxx.com/adminapi/Config/getConfig

这里提一嘴（除了能访问、还要有权限）

（靶标系统还没有对应的页面、估计是下掉了前端的vue路由）

代码生成功能一般是需要重点关注的对象

总之就是先这样然后那样最后

然后就没有然后了

总结

后台记录显示，已有上百人落入圈套，单次诈骗金额 300-500 元不等

日常务必擦亮双眼，提高反诈警惕