记一次智斗骗子的完整过程

pandahome 9 个月前

文章归档

172

前言：朋友是做营销，之前找人买了一个私人vx号，然后用了一段时间后被原主人找回了，朋友说那个号上有三百多个客户，所以他很生气...并向我求助。
现有的信息：姓名、银行卡号、微信号。姓名和银行卡号是当时买号的时候骗子的收款账号，社工过程：翻看那个被找回的号的朋友圈（之前我朋友在用的时候加过好友）得到一个不完整的手机号（155****6171），不完整的手机号来自那个号朋友圈一张在线生成的装逼的图，手机号中间会自动打码，至于为啥确定手机号是他本人的，是因为他朋友圈有十几张这样的图，都是同一个手机号。首先我查询了银行卡的归属地，是甘肃省白银市的一个建设银行的号，所以我把骗子的户籍暂定在甘肃省白银市。接着从手机号下手，由于中间少了4位，于是我把0~9这个10个数字排列组合了一下，然后合成手机号，最终生成了1万个手机号，用作接下来排查的数据源。

我把这一万个手机号的归属地查了出来，从中筛选出了一百多条白银市的手机号（还好不多...）

接下来就是与姓名进行匹配，阿里云云市场有api，我这次用的是姓名+手机号，核对姓名和身份证号码和手机号码是否一致

经过一百多次的匹配，最终获得了骗子的手机号。有了手机号可操作性就强了。看了下支付宝，结果发现该手机号没有认证支付宝。接着并从手机号反查绑定的微信号，qq号，微博号，抖音，快手等等各类平台。但遗憾的是没有一个成功的，估计是骗子心虚了在做完坏事后，设置了隐私保护。而且利用以上信息在搜索引擎中也没发现什么有效信息，思路断了。第二天的时候，突然想起我以前有块装了几百个G的移动硬盘，当然里面不是什么种子，而是多年来从互联网上收集的“裤子”。于是翻箱倒柜找出那块移动硬盘，看看能不能从中检索出什么信息。好在我运气足够好，从几百个G的数据中，发现了一些极其重要的信息。我先是用手机号检索的，检索出来的居然是骗子的微信号，也就是那个被找回去的号。于是我又用微信号作为关键字，检索出来了另一个电信的手机号，用api验证了一下也是属于骗子的。于是再用这个新的手机号去查看各大平台的绑定，最终匹配了支付宝账号，看了下头像应该是本人（一个挺黑挺丑的小伙子...所以基本肯定不是网图啥的，照片太丑了就不放上来了）同时还发现了骗子的hj地址：甘肃省白银市平川区，由于那个微信号是***19930507**（信息敏感，所以用星号打码），所以可以模糊的确定骗子的身份证号的查了下白银市平川区的号段，确定身份证号为：62040319930507****查了下身份证的码编码规则及校验位校验算法，但是由于缺了最后整整四位，所以无法计算出具体数字，但是骗子是男性，所以可以确定身份证第17位是奇数。第17位范围是：1－3－5－7－9 这4个数字，而最后一位的范围是：0－1－2－3－4－5－6－7－8－9－10这11个数字，第15和第16位则是0~9这10个数字。于是再次进行了排列组合，这次的结果全部用于api验证（花了挺多钱的，还好我朋友做生意的挺有钱的把钱补给了我）最后得到了骗子的身份证号码，然后从裤子中检索出了骗子的家庭住址以及...他父亲的姓名和联系方式，不过这个数据源应该是挺久以前泄露的了... 其实有了身份证、姓名和手机号还可以做很多事，但是此次社工的目的只是为了看看能不能把号弄回来顺便警告一下骗子，其余的太深入了也害怕被查水表... 外部信息收集完了，我尝试和骗子交互（一般我都是先不惊动骗子，先收集别的资料以免打草惊蛇）那个被找回去的微信号骗子有在登录，于是开始套路...假装不知道号是骗子在登，假装自己是他的同事，并且和他说误以为有钱可以领

那个xls表格我做的是一份很正式的资金申报表，而且把其中几项必填项写的比较复杂，一般人看不懂的那种，不过我没打算用表格钓鱼，因为太明显了我感觉这样容易暴露...重点是哪几项很难看懂的而又是必填项，我在表格底部放了一个链接，名为“资金申报表填写规范与示例参考”，我相信他一定会打开看的...那个链接依旧不是钓鱼，而且打开也确确实实是一个参考的表格和一些说明，但是网页我嵌入了一段代码，一套我以前写的DW系统，利用GPS获取经纬度然后实现定位的，精度超级高的感觉。所以我就获取了他的位置：山东青岛xxxx区xxx街道xxx酒店附近。过了一个多小时，邮件发过来了，我特意用了一个Foxmail用来收信，嗯看起来稍微高端点~通过邮件主要是想获取他的邮箱，看了下是qq邮箱，于是qq号也有了。于是通过qq号和邮箱又是一波大数据检索，得到了他曾泄露的各种老密码和游戏账号以及曾用网名（看着他那些非主流的网名，我想起了我那逝去的青春~~）