社工-初步收集

这个算是比较可以的一个题了

用御剑先扫一下域名看看目录

我们一个一个来看看

然后一个登陆界面是需要登陆密码的

然后我们在

运行其实啥也没有就是被骗了（账号密码都是无所谓的）

然后我们对本地抓个包看看，对我现在使用的网络看看有没有效果

使用的是wireshark，开始检测

大概有这些有用的信息

24 0.988406 10.81.233.91 220.181.15.161 SMTP 76 C: User: YnVna3VrdUAxNjMuY29t

26 1.023067 10.81.233.91 220.181.15.161 SMTP 80 C: Pass: WFNMUk9DUE1OV1daUURaTA==

30 1.357453 10.81.233.91 220.181.15.161 SMTP 83 C: MAIL FROM:<bugkuku@163.com>

对这些用户名密码进行解码base64看看

bugkuku@163.com

XSLROCPMNWWZQDZL

得到账号密码

这个用于后台也不行

我们切163看看试试

163登不上去？

得知，邮箱登陆分账号密码以及账号和授权码登陆

我这里使用qq邮箱手机上登陆163邮箱

登陆进去，在已删除的邮件中找到一个这个玩意

使用社公字典生成的密码

mara20010206

20010206mara

20010206

bugkuku@163.com

开始尝试：

登陆后台管理面板

账号：mara

密码：20010206

直接F12是没有的，点点看

flag{f0f543bcb91c1d333102be5cf6d0691b}

这道题可以多用bur来试一下，因为这几次都没有用过，这个工具还是挺厉害的