前言:该文章去年大哥很早给我了,由于太懒一直未发。现在学习ai,感觉ai发展的太快稍微不注意就会落后了好多,把去年存的笔记都给发出来,后续再发些关于ai的文章。
起初只是随手在小红书评论某只股票,没想到竟引来“股神”私信——号称带我发财,还附赠"财富密码"。点开链接,赫然是仿冒的证券交易APP下载页,图标、名称高度雷同,连用户协议字体都刻意模仿。

期初说不方便加微信,要换聊天软件,好,这个聊天App也是漏洞百出——安装后未经授权便读取设备信息,抓包发现其明文传输手机号 173xxxxxxx。其他身份信息未暴露,但结合上下文,极大概率是伪造号码。几天后对方称需在“XX金融App”实操,发来一个短链。点击跳转至非官方分发页,市面上根本搜不到该App,连基础合规检测都未通过。


进入正题,随便输个手机号码,等等,这验证码竟然不是以短信的形式返回的,而是直接返回——说明后端未对接运营商短信平台,验证码逻辑完全由前端或弱校验服务生成。好的,先用个假手机号注册下,任意账户注册。

先注册看看,假装对这个软件一无所知,操作全靠她指导。 一边装懵,等她真发来截图,保持“小白”人设,不露破绽,才能诱她暴露更多攻击链路。

得到手机号为136*****806 张xx

先用自己注册的账号登上去,发现可以通过手机号越权查询别人的信息,一点点fuzz得到该名小仙女的信息,其中数据包中还返回了登录密码,交易密码,可惜没有身份证信息。


于是利用登录之


好家伙,这是真的吗?仔细翻找、查看,发现这根本不是真实交易系统,而是个彻头彻尾的“模拟仓”——界面炫酷,数据浮动,但所有盈亏、持仓、资金变动全由前端或后端随意渲染。输入任意金额,点击“充值”,余额即刻翻倍;下任意单,K线随之“精准”匹配。无真实资金对接,无券商接口,甚至连基础的风控校验都形同虚设。所谓“带单盈利”,不过是用预设脚本操控的数字幻觉。诈骗者借此制造“轻松赚钱”假象,诱导用户追加“保证金”或下载“升级版”木马App。

提现也是提不出来的,就是诱惑小白,充值,然后杀猪。整个平台从注册、充值到交易,全程闭环伪造:验证码前端生成、资金余额随意篡改、K线走势按需渲染,所有“盈利”均为预设脚本驱动。用户充值后,资金并未进入任何真实账户,而是直接落入黑产钱包;所谓“提现失败”,实为后台硬编码拦截——输入任意银行卡号,均返回“风控审核中”或“手续费不足”,根本无真实出金通道。
且资金无法提现
可惜看不到实名认证信息,查不到,就算查到了也是假的,至此渗透告一段落,提醒大家,不要轻信相信高收益理财炒股等信息,提高自己的反诈意识。
夜雨聆风