国庆长假过去没多久，有个问题要问一问：假期有没有丢手机？以下是A、B、C、D四个故事，欢迎对号入座。

A：手机丢了，以为被扒，打手机显示关机，悲了个催的用“找回iPhone”功能，突然能找到了，一打电话，咦，开机了！对面一个温柔的男声：你好，我捡到你的手机了，但之前没电了，刚充上电开机，约个地方把手机给你吧……若干剧情后，你收获了手机和一枚男盆友。

B：手机丢了，以为被扒，打手机显示关机，悲了个催的用“找回iPhone”功能，然而找不到，真的被扒……iPhone 7朝你招手！

C：手机丢了，以为被扒，打手机显示关机，悲了个催的用“找回iPhone”功能，然而找不到，真的被扒……呜呜，第二天收到“Apple”发来的验证短信，ID、密码被套取，iPhone 7朝你招手！

D：手机丢了，以为被扒，打手机显示关机，悲了个催的用“找回iPhone”功能，然而找不到，真的被扒……呜呜，第二天收到“Apple”发来的验证短信，ID、密码被套取，然后，你的朋友是个大神，通过攻击短信里的钓鱼网站以及一系列复杂剧情，你找回了手机，这次没有理由买了。

洗把脸醒醒，看看这个世界，A剧情就不要想了，人生最重要的是务实！大部分人遭遇的是B和C剧情，D剧情看上去真的像“故事”，但是，网络安全从业者白帽黑客真的是这么干的!

距离白帽黑客利用技术手段找回他朋友丢失的iPhone其实已经一个月了，但对笔者谈起这件事来，他还是眉飞色舞。来还原下详细剧情！

1.被骗刷机

9月12号晚上9点，白帽黑客的小伙伴在某地铁拥挤的人群里被偷走了iPhone。当晚，白帽黑客面对一脸懊悔的朋友后，曾尝试使用“找回iPhone”这个功能来找手机。

然而，骗子很机智，手段很纯熟。偷走手机后，首先关了机，然后拔出手机卡，又关掉了联网功能。于是，“找回iPhone”功能失效了……没有被偷过iPhone的编辑小李天真的认为，电视剧里被绑架到山区几乎没网还能定位给警察情郎的情节几乎是真的……电视剧害死人。

事情来了个大转弯。第二天，白帽黑客的朋友接到一个短信。

焦急的朋友没有多想，登陆了上述网址，输入了账户ID和密码。然后就杯具了……

到底有多少人是这么干的？此处，笔者编辑要敲小黑板！请注意！

丢手机的朋友如果接收到这条短信，第一，请看发送短信号码是否属实；第二，请看网址是否是钓鱼网址；第三，如果发送短信号码看上去像苹果客服，可能从伪基站发出，请再次核实网址。

手机那一头的骗子同伙从钓鱼网站得到ID和密码后迅速刷机，如果没有白帽黑客后来的技术反制，故事到这里应该就结束了，结局会是你的手机已经可以在市场流通，你有理由去买了！

2.扒掉团伙的面纱以及……底裤

朋友后知后觉，但将此事告知了白帽黑客。

作为一个白帽子，赌上荣誉和尊严，都要抢回这部被偷走还被刷机的手机！不过，应该怎么做？怎样才能和这个团伙联系上？怎样才能让他们乖乖交回手机？

白帽黑客看到了钓鱼网址，心生一计——挖漏洞，找到管理员账号、密码、后台地址，还要找到他的联系方式，这是第一步！

白帽黑客理清思路后，在上午10点后迅速对该钓鱼网站发动攻击，他看了看略Low的网站，心想估计也没什么特别专业的技术人员在做技术支持，哼，骗子还是太年轻！于是果断选用了最常见的XSS攻击。

白帽黑客说：“在钓鱼网站在输入密码以后，钓鱼网站让我输入密保信息，我在答案输入框中输入了XSS代码，然后就成功提交了。”

以下是小白教学时间：

所谓XSS，即跨站脚本攻击，攻击者向Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入Web中的Script代码会被执行，从而达到恶意攻击用户的目的。

白帽黑客指出，恶意Script代码网上都有，小白不要怕，也可以查到获取，从而进行XSS攻击，是为了拿到后台地址。

在等待收到XSS的过程中，白帽黑客觉得不能把鸡蛋放在一个篮子里，要再找找他其他漏洞。大写的机智！

白帽黑客运用了一个扫描和监控网站的小工具，发现了钓鱼网站的一处逻辑漏洞，通过会话劫持，白帽黑客拿到了一个返回包，其中包含了smtp（简单邮件传输协议）登陆过程、管理员账号密码，且密码为base64编码。

科普一下，Base64编码是网络上最常见的用于传输8Bit字节代码的编码方式之一，可用于在HTTP环境下传递较长的标识信息。采用Base64编码具有不可读性，即所编码的数据不会被人用肉眼所直接看到。

但是，Base64编码对于白帽子而言，其实比较简单，再次证明这个钓鱼网站Low。白帽黑客轻松找到了反编码工具，密码被破解。

然而，电影里的反派也不是一下就能被虐杀，总要有曲折，不然就是编剧蔑视观众智商！这话放到这个故事里也成立。

carry_you r告诉笔者(搜索“笔者”公众号关注)，本来打算通过管理员的邮箱发件箱扒拉一下相关同伙的信息，结果——“我成功登陆了管理员的网易邮箱，不过可惜的是他做了设置，发件箱里没有信息。”

不要灰心！我们要拥抱挫折。

白帽黑客说：“上一处漏洞进行不下去了，我又进行了一翻寻找，又找到一处漏洞，这是一处注入，是update型的报错注入，我拿到管理员的信息。”

这里的注入，是指SQL注入，通过把SQL命令插入到Web表单提交或输入域名