人よ、幸福に生きよ

最近QQ邮箱收到了一封伪装成”学籍信息核对”的钓鱼邮件，正好闲着没事，就对这个钓鱼网站进行了一次完整的分析。下面分享一下攻击者的思路和技术手段。#

攻击链：

1. 通过QQ邮件群发，主题是”26年个人学籍信息核对”，伪装成官方教育机构通知。
2. 邮件包含恶意链接，声称需要验证身份后才能查询学籍信息，并制造紧迫感：“不另行通知”。
3. 用户访问后看到伪造的”学生资料”页面，背景是教育系统界面，弹窗提示”当前文档过大，需要登录QQ才能查看”。
4. 信息窃取

• /step_in/ - 收集个人基本信息
• /step_code/ - 验证码确认
• /step_phone/ - 手机号验证
• /app/cess/data.php - 最终数据提交

5. 最终窃取：QQ账号密码、身份证号/学号、手机号等敏感信息。

网络基础设施#

恶意域名：

• 主要域名: dc.r***pr.top
• 父域名: r***pr.top
• 关联域名: ba***obgyn.com（仿冒美国医疗机构）

IP地址：198.18.1.*19

• 属于IANA保留段（198.18.0.0/15）
• 根据RFC 2544仅用于实验室网络基准测试
• 严禁在公共互联网使用
• 攻击者具备配置和使用保留IP的高超技术

服务器技术栈：

• Web服务器: nginx
• 后端语言: PHP
• 会话管理: PHPSESSID
• 数据提交: AJAX异步请求
• 虚拟主机: 一个IP托管多个域名

SSL证书信息：

• 颁发机构: Let’s Encrypt (R12)
• 证书主体: ba***obgyn.com
• 实际使用域名: dc.r***pr.top
• 证书主体与使用域名不符

钓鱼网站路径#

1
入口页面:        http://dc.r***pr.top/
2
信息录入:        /step_in/
3
验证码页面:      /step_code/
4
加载处理:        /step_load/
5
手机验证:        /step_phone/
6
主控脚本:        /app/cess/index.php
7
数据收集接口:    /app/cess/data.php

静态资源：

• /images/School.png - 伪造的学校背景图
• /images/reset.css - 样式文件
• /images/style.css - 样式文件

HTTP请求特征#

数据提交示例：

1
POST /app/cess/data.php HTTP/1.1
2
Host: dc.r***pr.top
3
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
4
X-Requested-With: XMLHttpRequest
5
Cookie: PHPSESSID=4aa94109b5c9e59fb02c3***********
6
Referer: http://dc.r***pr.top/step_load/
7

8
rs=rs

💻 技术核心#

总结#

这是一个高度专业化的网络诈骗案例，攻击者不仅运用了精妙的社会工程学技巧，还展示了相当高的技术水平。滥用IANA保留IP地址的做法在公开的钓鱼案例中极为罕见，这表明攻击者可能具备特殊的网络资源或技术能力。

网络安全需要我们时刻保持警惕，遇到可疑链接时多一分谨慎，就可能避免一次财产损失。

本分析仅供网络安全研究和教育使用