注：本文進行了部分細節(jié)修改和內容整理锅棕，以便于讀者更好理解秉宿，有任何問題請加本喵微信:lrzry7458
一隆豹、事件起因
遇到條老友求助先煎，內容是：老友在? QQ群看到有人在找人淘寶刷單,老哥看了看自己空空如也的褲兜,想小掙一筆傭金.于是加了騙子的QQ號.支付寶掃碼下單后找騙子要本錢和傭金,騙子找借口說賬號不合格,要再做一單才能返錢,條友想了想不大對勁,就說結了第一單可以再做第二單,然后就沒回應了.QQ下線再也聯(lián)系不上了.
儂隊市場工作隊整理：
1.騙子發(fā)過來的推廣二維碼
2.騙子要求墊付
3.刷單購買的東西淘寶記錄里查不到
4.醒悟過來為時已晚
二贼涩、案件分析
我拿到這張商品的推廣圖片看了下,沒什么問題.
然后支付寶掃碼進去看了下,頁面沒啥問題,不過看了下鏈接.
對的,鏈接不是淘寶網(wǎng)的,騙子把鏈接改掉了,套用了其它淘寶店的頁面.
大家可以看一下鏈接,不是淘寶的域名.
三、過程回溯
對該域名進行Whois查詢得到以下信息
當然薯蝎，信息百分之九十可能是假的遥倦，但不妨記錄下來，于是我通過名字盧衛(wèi)林進行反查占锯，發(fā)現(xiàn)注冊了成千個域名
大家看下域名查詢圖片的右邊,這個鏈接的目的明明白白寫出來了大昭天下,太他媽猖狂了.
整理了一下該域名反查到的新的信息
在新的結果中發(fā)現(xiàn)一個QQ郵箱袒哥，百度搜索下這個QQ郵箱,沒有什么有效信息.
無妨,直接QQ搜索這個號碼,得到他是賣域名的，這種人烟央，很大一部分是騙子统诺。
看了下下面的動態(tài),很多域名買賣的信息.
點擊去一看,喲
有個電話號碼和微信
進他的空間看了下.
又有一個QQ號.
去查下空間,嘿,還真有信息.
加個微信看下沒啥信息,估計是小號
百度查詢15849589735這個號碼,知道這是個內蒙古通遼的移動號碼.
再百度下18115169590這個號碼,江蘇南京的電信號碼.
搜索結果顯示出很多信息
基本上到這,可以猜測這個人姓劉/柳/
2014年入學金陵科技學院,在校區(qū)間做過新生電信推廣活動,也做過小額校園貸.
于是用那兩個手機號去支付寶反查試下
由此可知兩個手機號綁定的支付寶賬號是同一個人,劉天磊.
頭像還用的是自拍照.
照片依舊是打碼的,現(xiàn)在還不能肯定騙子就是這個人,只是可能性很大.
綜上得出
但是到現(xiàn)在為止沒有直接的證據(jù)證明這個劉天磊就是騙子,還需要對照具體的地址.
前面騙子的QQ號綁定了一個手機號碼181xxxxxx91跟18115169590前后很相似,所以得查出騙子這個綁定號碼是多少.
因為18115169590這個號碼是南京電信的,有理由懷疑181xxxxxx91這個號碼的歸屬地也是南京.
在這里感謝@小圣 提供了一個查詢電話號碼的程序,只要知道前后5位和歸屬地,通過百度號碼歸屬地查詢API接口把所有的可能的號碼查詢出來.
得到的結果是號碼中間4位地區(qū)代碼有112種可能,78位有100種可能,也就是騙子的號碼就在這11200個號碼里面.
通過excel把這些號碼導出成csv文件,我們可以利用QQ同步助手的導入聯(lián)系人功能歪脏，將其導入至云端疑俭，之后通過手機端APP同步進手機。
在導入完成之后婿失，我們便可以直接在好友列表下得到其對應的手機號（在已加為好友的狀態(tài)下）钞艇，或者通過通訊錄添加好友的方式啄寡，在眾多的新好友中找到對應的那一個，此時哩照，其手機號便是所尋找的挺物。
然后在找個朋友去江蘇線下電信營業(yè)廳給這個號碼交1塊話費,單據(jù)上就有這個人的姓名了.如果名字一樣,那就可以斷定這個人就是騙子.如果不是,還有其他辦法可以確定.
下午我找小號去添加騙子QQ,正好用手機掛線.
點個視屏通話,果不其然被拒絕了.
不過沒關系.
利用wireshark抓取對方的ip地址,因為手機掛Q的特性IP都是就近分布在最近的機房,得到的IP地址顯示地址就在南京的一個數(shù)據(jù)中心,基本上可以確定騙子的地址就在南京市.
通過IP地址查詢
如果是電腦上Q,抓取的IP地址可以精確到街道門牌號這個級別.
后續(xù)是報警還是威脅騙子退回money那就看個條老友怎么想了.
今天的分享就到此為止.
有任何疑問可以回帖醍醐或者加V:lrzry7458
