В этом руководстве мы будем использовать socialfish для получения учетных данных нашей цели.
В предыдущих руководствах мы узнали, что такое социальная инженерия и способы, с помощью которых можно осуществлять фишинг.
В этом руководстве мы будем использовать методы социальной инженерии вместе с инструментом socialfish, чтобы избежать обнаружения цели при фишинге учетных данных.
В последней версии socialfish появился интуитивно понятный пользовательский интерфейс для управления и создания фишинга.
Последняя версия также проста в использовании для тех, кто практически не разбирается в фишинге.
1: Установка socialfish
Чтобы установить socialfish, мы можем либо скачать его в виде zip-файла, либо клонировать репозиторий github с помощью терминала, выполнив следующую команду.
git clone https://github.com/UndeadSec/SocialFish.git
После загрузки мы переходим в каталог.
cd SocialFish
Попав в каталог, мы должны загрузить все требования для запуска и использования socialfish.
pip install -r requirements.txt
Когда установка завершена, мы готовы начать фишинговую атаку.
2: Запуск SocialFish
После завершения установки нам необходимо сделать файл SocialFish.py исполняемым.
Для этого мы используем приведенную ниже команду.
сhmod +x SocialFish.py
Чтобы запустить инструмент, мы используем следующий синтаксис.
./SocialFish.py <username> <pass>
В поле “<username>” мы установим имя пользователя, которое будем использовать для входа в систему, а в поле “<pass>” – пароль, который мы будем использовать.
Мы запустим его, как показано ниже.
3: Вход на главную страницу
Мы открываем наш любимый веб-браузер и переходим по указанной выше ссылке для входа в систему, как показано на рисунке ниже.
С главной страницы мы можем начать фишинговую атаку на нашу цель.
4: Запуск фишинговой атаки
Войдя на главную страницу, мы можем увидеть различные полезные компоненты, которые мы можем использовать в нашем фишинге.
Как показано на изображении выше, у нас есть поле для ввода ссылки сайта, который мы хотим клонировать, и поле для ввода веб-страницы, на которую мы хотим быть перенаправлены.
Вы также можете выбрать использование пользовательской HTML-страницы.
У нас есть возможность внедрить beef-xss на нашу фишинговую страницу для использования с инструментом BeEF.
Socialfish также имеет токен доступа на случай, если вы захотите подключить его к своему приложению для android для более легкого управления фишинговыми атаками.
Опция “Send mail” позволит нам отправить фишинговое письмо прямо на целевой почтовый ящик с главной страницы, как показано на изображении ниже.
После завершения фишинга мы можем создать полный отчет о фишинге с помощью кнопки на главной странице.
В нижней части страницы фишинга находится место, где мы сможем просмотреть наши отчеты о фишинге, а также выполнить более глубокий сбор информации о наших целях.
Мы можем сканировать открытые порты и даже использовать shodan для сбора дополнительной информации.
В этом руководстве мы будем проводить пользовательскую атаку, поэтому мы будем использовать пользовательскую страницу, как показано на рисунке ниже.
Теперь после ввода пользователем своих учетных данных он будет перенаправлен на сайт www.google.com.
5: Использование Ngrok с socialfish
Этот шаг обычно необязателен и используется только в том случае, если ваша цель не находится в той же локальной сети, в которой находитесь вы. Использование этой опции сделает запущенный вами экземпляр socialfish доступным для любого пользователя, если у него есть активное подключение к Интернету.
Ngrok поможет нам туннелировать трафик, отправляемый через порт, который мы используем на socialfish, а это порт 5000, с помощью следующей команды.
ngrok http 5000
Вы можете поделиться ссылкой, сгенерированной на ngrok, с целью.
Когда он/она нажмет на ссылку, он/она будет направлен на страницу входа в систему, как показано на изображении ниже.
После того как жертва введет адрес электронной почты пользователя и пароль и войдет в систему, она будет перенаправлена на ссылку, которую мы предоставили ранее.
Теперь данные были зарегистрированы на странице администратора, и мы можем просмотреть их!
Заключение
В приведенном выше руководстве мы смогли легко запустить фишинговую атаку с помощью инструмента socialfish. Э
тот инструмент полезен для этичных хакеров, поскольку они выполняют свою профессиональную работу, чтобы обеспечить более безопасный мир для всех. Киберпреступники также используют этот инструмент в своих целях, поэтому важно знать, как он работает.
Однако следует отметить, что запрещается проводить любые фишинговые атаки на человека.
¯\_(ツ)_/¯ Примечание: Информация для исследования, обучения или проведения аудита. Применение в корыстных целях карается законодательством РФ
