WooYun.org

最近有个朋友向我求助，说是自己的淘宝和银行卡的密码被盗了，然后我问他最近有没有在淘宝交易过，然后从他所说的情况中，我觉得他是被钓鱼了，然后通过我的分析和验证也确认了这点。下面来看看黑客是用怎样的手法来欺骗用户的。
#1 朋友说自己在淘宝买了个XX，然后付款后卖家联系自己说他们的商品是货到付款的，在线支付的都是无效的，要给他退钱。朋友肯定也不是没有提防心里，然后就问对方自己的商品订单号，然后对方准确的说出了他的姓名、电话号码、订单号码等信息。
然后给他发了一个退款地址，要他尽快“完成退款，以免造成自己不必要的损失”。
#2 这个过程在普通人看起来似乎没什么问题，但是就是这样的一个操作，自己的大量敏感信息（包括淘宝账号、登录密码、支付密码、手机号、姓名、身份证号、银行卡号、取款密码、网银密码、CVN2等）就被黑客给盗走了。
#3 下面来看下黑客的钓鱼手法：
发给用户所谓的退款地址，然后用户打开如下：

一般没有安全意识的买家是不会发现有啥异常的，因为网站页面和淘宝模仿的是极为相似的
当你点击下一步的时候，会跳转到银行卡选择，然后点击下一步的时候会转到填写银行卡信息（其实在这个时候，你的淘宝帐号、登录密码、支付密码就已经被盗了）。

用户看到还要填写这么多信息，但是想到给自己退钱的，所以还是一个一个认认真真的填写了（他这里对于输入框还是有些正则判断的），然后终于填写完了，提交“等待退款”。
纳尼！点击确认退款按钮竟然提示系统繁忙了！然后买家赶紧去问卖家怎么回事，卖家以比如说系统暂时有问题怎么怎么的去糊弄一下买家，或者之家就不鸟你了，因为此时，你的大量信息，包括淘宝账号、登录密码、支付密码、手机号、姓名、身份证号、银行卡号、取款密码、网银密码、CVN2等，已经被黑客给窃取掉了。