国庆长假过去没多久，有个问题要问一问：假期有没有丢手机？以下是A、B、C、D四个故事，欢迎对号入座。

　　A：手机丢了，以为被扒，打手机显示关机，悲了个催的用“找回iPhone”功能，突然能找到了，一打电话，咦，直播，开机了！对面一个温柔的男声：你好，我捡到你的手机了，但之前没电了，刚充上电开机，约个地方把手机给你吧……若干剧情后，你收获了手机和一枚男盆友。

　　B：手机丢了，以为被扒，打手机显示关机，悲了个催的用“找回iPhone”功能，然而找不到，真的被扒……iPhone7 朝你招手！

　　C：手机丢了，以为被扒，打手机显示关机，悲了个催的用“ 找回iPhone ”功能，然而找不到，真的被扒……呜呜，第二天收到“ Apple ”发来的验证短信，ID、密码被套取，iPhone7 朝你招手！

　　D：手机丢了，以为被扒，打手机显示关机，悲了个催的用“ 找回iPhone ”功能，然而找不到，真的被扒……呜呜，第二天收到“ Apple ”发来的验证短信，ID、密码被套取，然后，你的朋友是个大神，通过攻击短信里的钓鱼网站以及一系列复杂剧情，你找回了手机，这次没有理由买 iPhone7 了。

　　洗把脸醒醒，看看这个世界，A剧情就不要想了，人生最重要的是务实！大部分人遭遇的是B和C剧情，D剧情看上去真的像“故事”，但是，网络安全从业者 carry_your 真的是这么干的!

　　距离 carry_your 利用技术手段找回他朋友丢失的 iPhone 其实已经一个月了，但对雷锋网谈起这件事来，他还是眉飞色舞。来还原下详细剧情！

　　1.被骗刷机

　　9月12号晚上9点，carry_your 的小伙伴在某地铁拥挤的人群里被偷走了iPhone。当晚，carry_your面对一脸懊悔的朋友后，曾尝试使用“ 找回iPhone ”这个功能来找手机。

　　然而，骗子很机智，手段很纯熟。偷走手机后，首先关了机，然后拔出手机卡，又关掉了联网功能。于是，“ 找回iPhone ”功能失效了…… 没有被偷过 iPhone 的编辑小李天真的认为，电视剧里被绑架到山区几乎没网还能定位给警察情郎的情节几乎是真的……电视剧害死人。

　　事情来了个大转弯。第二天，carry_your 的朋友接到一个短信。

　　焦急的朋友没有多想，登陆了上述网址，输入了账户 ID 和密码。然后就杯具了……

　　到底有多少人是这么干的？此处，雷锋网(搜索“雷锋网”公众号关注)编辑要敲小黑板！请注意！

　　丢手机的朋友如果接收到这条短信，第一，请看发送短信号码是否属实；第二，请看网址是否是钓鱼网址；第三，如果发送短信号码看上去像苹果客服，可能从伪基站发出，请再次核实网址。

　　手机那一头的骗子同伙从钓鱼网站得到 ID 和密码后迅速刷机，如果没有 carry_your 后来的技术反制，故事到这里应该就结束了， 结局会是你的手机已经可以在市场流通，你有理由去买 iPhone7 了！

　　2.扒掉团伙的面纱以及……底裤

　　朋友后知后觉，但将此事告知了 carry_your 。

　　作为一个白帽子，赌上荣誉和尊严，都要抢回这部被偷走还被刷机的手机！不过，应该怎么做？怎样才能和这个团伙联系上？怎样才能让他们乖乖交回手机？

　　carry_your 看到了钓鱼网址，心生一计——挖漏洞，找到管理员账号、密码、后台地址，还要找到他的联系方式，这是第一步！

　　carry_your 理清思路后，在上午10点后迅速对该钓鱼网站发动攻击，他看了看略 Low 的网站，心想估计也没什么特别专业的技术人员在做技术支持，哼，骗子还是太年轻！于是果断选用了最常见的 XSS 攻击。

　　在钓鱼网站在输入密码以后，钓鱼网站让我输入密保信息，我在答案输入框中输入了 XSS 代码，然后就成功提交了。

　　以下是小白教学时间：

　　所谓 XSS，即跨站脚本攻击，攻击者向 Web 页面里插入恶意 代码，当用户浏览该页之时，嵌入Web 中的 代码会被执行，从而达到恶意攻击用户的目的。

　　carry_your 指出，恶意 代码网上都有，atv， 小白不要怕，也可以查到获取，从而进行 XSS 攻击，是为了拿到后台地址。

　　在等待收到 XSS 的过程中，carry_your 觉得不能把鸡蛋放在一个篮子里，要再找找他其他漏洞。大写的机智！