В этой обучающей статье мы расскажем вам о том, как использовать методы социальной инженерии вместе с инструментом SocialFish для получения учеток нашей жертвы.
В последней версии SocialFish появился интуитивно понятный пользовательский интерфейс для управления и создания фишинга. Последняя версия также проста в использовании для тех, кто практически не разбирается в фишинге.
Итак, давайте начнем...
1. Установка SocialFish на Termux:
Чтобы установить SocialFish, мы можем либо скачать его в виде zip-файла, либо клонировать репозиторий github с помощью терминала, выполнив следующую команду:
git clone https://github.com/UndeadSec/SocialFish.git
После загрузки мы переходим в каталог:
cd SocialFish
Попав в каталог, мы должны загрузить все требования для запуска и использования SocialFish:
pip install -r requirements.txt
Когда установка завершена, мы готовы начать фишинговую атаку.
2. Запуск SocialFish
После завершения установки нам необходимо сделать файл SocialFish.py исполняемым.
Для этого мы используем приведенную ниже команду:
сhmod +x SocialFish.py
Чтобы запустить инструмент, мы используем следующий синтаксис:
./SocialFish.py <username> <pass>
В поле “<username>” мы установим имя пользователя, которое будем использовать для входа в систему, а в поле “<pass>” – пароль, который мы будем использовать.
Мы запустим его, как показано ниже
3. Вход на главную страницу
Мы открываем наш любимый веб-браузер и переходим по указанной выше ссылке для входа в систему, как показано на рисунке ниже.
С главной страницы мы можем начать фишинговую атаку на нашу цель.
4. Запуск фишинговой атаки
Войдя на главную страницу, мы можем увидеть различные полезные компоненты, которые мы можем использовать в нашем фишинге.
Как показано на изображении выше, у нас есть поле для ввода ссылки сайта, который мы хотим клонировать, и поле для ввода веб-страницы, на которую мы хотим быть перенаправлены.
Вы также можете выбрать использование пользовательской HTML-страницы.
У нас есть возможность внедрить beef-xss на нашу фишинговую страницу для использования с инструментом BeEF.
SocialFish также имеет токен доступа на случай, если вы захотите подключить его к своему приложению для android для более легкого управления фишинговыми атаками.
Опция “Send mail” позволит нам отправить фишинговое письмо прямо на целевой почтовый ящик с главной страницы, как показано на изображении ниже.
После завершения мы можем создать полный отчет о фишинге с помощью кнопки на главной странице. В нижней части страницы фишинга находится место, где мы сможем просмотреть наши отчеты о фишинге, а также выполнить более глубокий сбор информации о наших целях. Мы можем сканировать открытые порты и даже использовать shodan для сбора дополнительной информации.
В этом руководстве мы будем проводить пользовательскую атаку, поэтому мы будем использовать пользовательскую страницу, как показано на рисунке ниже.
Теперь после ввода пользователем своих учетных данных он будет перенаправлен на сайт google.com:
5. Использование Ngrok с Socialfish
Этот шаг обычно необязателен и используется только в том случае, если ваша цель не находится в той же локальной сети, в которой находитесь вы. Использование этой опции сделает запущенный вами экземпляр SocialFish доступным для любого пользователя, если у него есть активное подключение к Интернету.
Ngrok поможет нам туннелировать трафик, отправляемый через порт, который мы используем на SocialFish, а это порт 5000, с помощью следующей команды:
ngrok http 5000
Вы можете поделиться ссылкой, сгенерированной на ngrok, с жертвой. Когда он/она нажмет на ссылку, он/она будет направлен на страницу входа в систему.
После того как жертва введет адрес электронной почты и пароль, войдя в систему, она будет перенаправлена на ссылку, которую мы предоставили ранее.
Данные учетки жертвы прилетели к нам в админку и мы можем воспользоваться ими в своих целях.
На сегодня это все. Уверены, что данная информация была для вас полезна. Благодарим за внимание!
———————————————————