阅读量:15
不知道大家有没有看过这样一个新闻，一位家住东京都江户川区的20余岁女偶像在回家时突然被一名26岁男子用毛巾捂住嘴，男子将她拉倒在地后触摸了她的身体，随后被警方逮捕。
在调查中男子称自己是受害人的粉丝，通过偶像自拍照瞳孔中建筑的倒影推断出她平时使用的车站，在车站蹲点后又进行跟踪锁定了偶像的住处。男子还表示通过偶像公开的动画中房间窗帘的位置、阳光的方向确定了她具体居住的房间。
看完这个新闻后我思考许久想通过各种思路找出自拍照中有哪些信息不打码都会导致泄露个人信息泄露同时也可能会跟视频中一样引起人身安全的一些问题 毕竟现在很多人都喜欢在网上发自拍 我会在这个类目中持续更新
某书跟某博点开附近可以看到很多人会晒自拍攻略到平台上，我在附近的照片中选择一个无脸的女生自拍照并找到她的个人信息,家庭住址,这里提示下未经允许不能做这种测试 我后面跟她道歉出于帮助她解决信息泄露问题得到谅解
这张照片中女生背景就是一面墙 脸也被挡住了 能看到的信息非常的少 你们别以为这样就安全了 我进入她的个人主页分析下她主页更新大概有两百多张照片 她前面使用的手机壳是一个黑色的iPhone 手机壳
到了近期的照片中都在使用一个粉色的手机壳 经过思考我想通过一个手机壳找到她的个人信息 从信息中可以我预判她的手机壳可能是12月10号购买的 我把照片保存下来然后进行剪切 把手机壳的图片剪切下来放到某宝上搜寻 可以看到售卖这个手机壳的商家仅有一家
这是一家自己设计原创手机壳的店铺 一个手机壳也是卖到一百多 比我的手机还值钱
通过店铺名称我在企业信用查询中找到了这个店铺所属的公司 企业信用中会披露很多信息像商标 域名 产品 许多信息得知手机壳来自这家公司的产品 我在企业信息中看到了里面有个备案域名 通过子域名查询找到了域名下的一个订单管理系统
很明显购买这款手机壳的用户信息都在里面 当时联系很久最终才得到了授权测试 提示下在授权测试中也请勿下载公民信息这是违法行为
测试过程我长话短说因为比较复杂过程做成视频听着会犯困 通过子域名收集我找到了前台类的网站有10个分别为博客，论坛，官网 也在子域名中收集到这几个管理系统 订单系统 财务系统 oa系统 我的目标是订单系统 但是订单系统是使用vue写的前面就解掉了他的前端加密算法进行爆破 但是后面并没有爆破到密码
在论坛的一个点中我找到了xss漏洞但是存在防火墙无法执行正常载荷 经过一整天的绕过发现通过参数污染加上 %0a 可以绕过此处漏洞
Xss执行成功后又遇到了新的问题那就是存在httponly 没能获取到管理员cookie 我写了个仿真钓鱼系统进行钓鱼等了两天左右我钓鱼收到了一条账号密码信息
但是在此系统一直无法登录 只能选择其他方式来攻击 我通过网络空间搜寻系统找到了几百个相同源码的管理系统 然后写了一个python批量爆破脚本进行爆破 成功的爆破到几个无人使用的系统 这个系统中没有csrf的防护可以通过xss重新打一条js攻击进来 创建一个新的管理员
成功创建了管理员登录后也没有什么权限，后来通过该账号在管理系统中找到了一个dba权限的sql注入 通过此处得到数据库 使用的是同数据库因此拿到了订单管理系统的管理员账号密码
成功进入到了这个订单系统 并且把漏洞告知给对方让其修复 当时我根据判断的时间12月9号到12月15号查询了这段时间同城同区购买的订单 选择查询49条订单信息 这个手机壳销售量也是比较少的方便计算出准确信息
在通过这49条准确率非常高的信息一个个搜索微信，不出所料在第七条信息手机号搜索微信找到了一个 微信名称跟某书的名称同名的微信号
添加微信后我第一时间就给她解释 告诉她这样发布照片可能会因此泄露自己的身份信息 让她删除掉敏感照片 同时也得到了谅解
同时也在提醒各位在互联网晒自拍即使无脸也是有风险的可能一张照片就让自己个人信息被有心人获取到 甚至面临生命危险
所以在做视频的同时我也不会放出太多敏感的信息 女孩子下次要发照片到网上可以先发给我看看 我来帮你解决信息安全问题
