马报论坛一香港人喜欢买马资料(马报论坛)

通过前期的准备工作，了解庄家收单行为后，确定了要实施的方案，就可以开始进行定向攻击了。下面将对这几步攻击步骤及其技术实现进行详细揭露，定向攻击的场景分为短信和微信两种形式，两种的实施方式有明显的差异。

一、使用短信攻击关键技术揭露

（一）发送Android木马下载地址短信

如果庄家使用的是Android操作系统手机，买家会先通过短信或微信的方式发送一条Android木马下载链接给庄家，随后通过短信，微信等方式诱导庄家安装Android木马。一旦庄家装上该木马，木马随即进入潜伏状态，即完成过程的关键一步，类似短信如下图。

【图4.1】木马下载地址短信

根据360烽火实验室对该木马感染情况的分析，广东地区被感染的用户最多。

【图4.2】感染庄家分布图

这种手法的短信，我们在之前FakeTaobao系列木马【５】的分析中也进行了详细的揭露。是目前移动场景上对用户影响最大的一类短信。

（二）潜伏期的Android木马功能点分析

潜伏期的木马，对手机的正常使用没有任何影响，且无图标，用户无法感知。

功能一：远控功能

木马集远程定位、上传短信、新短信监控等功能于一身，功能全面足以监控庄家的一举一动。而这所有功能的操控又可以分为短信指令，和网络后台的方式。

【图4.3】短信指令与网络后台指令对比

１）短信指令形式修改短信代码

【图4.4】短信指令修改短信代码

２）后台指令形式修改短信代码

【图4.5】网络后台指令修改短信代码

功能二：中间人攻击

中间人攻击是一种常用古老的攻击手段，并且一直到今天还具有极大的扩展空间，中间人攻击通常用于网络攻击，其目的是对信息进行窃取和篡改。然而，随着近几年移动终端的发展，移动终端越来越离不开我们的生活。移动终端存储着大量的用户隐私信息，控制了用户的手机，意味着拥有了对用户隐私完全的获取能力。

【图4.6】中间人攻击篡改数据代码

【图4.7】该场景下的中间人攻击示意图

（三）发作期的Android木马功能点分析

１）发送短信

当确定何时实施改单之后，首先向庄家下单，例如使用短信指令形式，直接将彩单通过短信发送给庄家；使用后台指令的形式，直接在黑客提供的后台操作，木马通过联网的方式，获取需要插入的彩单。在庄家手机中完成修改买家彩单的操作。

【图4.8】发送彩单代码

２）开彩后改单

开彩后，当确定需要修改的内容后，迅速发送一条控制短信给庄家手机上。由于这个时候是庄家最忙的时候，不容易被发现。

控制短信格式：#{原短信内容}#{修改后的短信内容}

【图4.9】替换内容代码

３）短信修改方式揭秘

短信修改是匹配关键字的形式,在成功匹配到指定关键字的短信之后，随即使用新的内容替换该关键字。

【图4.10】修改短信代码

４）修改短信彩单效果前后对比

修改后的短信，除了内容被修改以外，其它比如短信接收时间，发送号码，均未更改，尽可能的做到了隐秘修改，降低被发现的风险。

【图4.11】修改短信彩单效果对比

５）收集新短信，全面监控庄家短信来往

【图4.12】监控新短信来往并上传

二、使用微信攻击关键技术揭露

由于微信改单无需安装软件，跨平台的特点，比较适合攻击使用苹果手机的庄家。价格也比较高，大多采用黑客与庄家分成的模式，或者直接卖后台账号的形式来获利。

（一）微信彩单形式

１）图片形式

【图4.13】图片式假彩单

２）文字形式

【图4.14】文字式假彩单

（二）图片和文字假彩单的制作过程

当买家购买了黑客的服务，采用分成模式后黑客会全程参与过程，采用卖后台账号模式的会直接提供后台账号及后台使用方法。买家操作和黑客操作步骤并无区别。只是操作熟悉程度的差别而已。

步骤一：首先，买家将需要买的号码写在纸上，再拍照片上传到后台，如使用文字形式，直接复制文字到后台即可，通过后台制作出一张可修改的假彩单，并生成链接。

【图4.15】假彩单制作后台截图

步骤二：点开该链接，使用分享功能，将图片分享给庄家即可。

【图4.16】假彩单后台生成的链接

至此，假彩单已制作成功并发送至庄家手机。

（三）可修改的彩单在微信中的展现

【图4.17】假彩单形式展现

（四）图片式可修改彩单与正常彩单的展现对比

无论是正常彩单还可修改的彩单，用户往往都会点击查看大图，正常彩单直接显示图片，且打开速度快。而修改的彩单点击后会在微信内嵌浏览器中显示图片，图片打开速度由网络速度决定。

【图4.18】可修改图片彩单与正常图片彩单对比

（五）文字式可修改彩单与正常彩单的展现对比

文字形式的彩单也和图片彩单一样，同样是一个链接。

【图4.19】可修改文字彩单与正常文字彩单对比

（六）假彩单的真面目

假彩单其实是一个链接，由于在微信上展现的效果和正常的聊天记录区别不大，在微信中点开后，不容易甄别，实际上打开的是微信内嵌的浏览器。连接到黑客的服务器上，黑客将服务器上面的彩单改成中奖号码之后，庄家确认买家彩单是否中奖时，会点开查看。

【图4.20】假彩单的真面目

点击聊天记录中的彩单，实际访问的是假彩单提供网站的地址: hxxp://www.yucituan/Info.asp?itemid=4097&from=message&isappinstalled=0

根据对网站的分析，网站使用了微信的分享功能中“分享给朋友”功能，该功能微信官方JSSDK【６】开发文档说明如下：

【图4.21】微信JSSDK”分享给朋友”官网说明

网站将分享的标题和描述设置为空，导致如不仔细甄别，很有可能混淆正常聊天记录。

【图4.22】假彩单提供站微信分享代码