Mensen zijn de beste bron en het beste eindpunt van beveiligingsproblemen ooit. Social Engineering is een soort aanval die gericht is op menselijk gedrag door hun vertrouwen te manipuleren en ermee te spelen, met als doel vertrouwelijke informatie te verkrijgen, zoals bankrekening, sociale media, e-mail en zelfs toegang tot de doelcomputer. Geen enkel systeem is veilig, omdat het systeem door mensen is gemaakt. De meest voorkomende aanvalsvector die social engineering-aanvallen gebruikt, is de verspreiding van phishing via e-mailspamming. Ze richten zich op een slachtoffer met een financiële rekening, zoals bank- of creditcardgegevens.
Social engineering-aanvallen breken niet rechtstreeks een systeem binnen, maar maken gebruik van menselijke sociale interactie en de aanvaller handelt rechtstreeks met het slachtoffer.
Weet je nog Kevin Mitnick ? De Social Engineering-legende van vroeger. Bij de meeste van zijn aanvalsmethoden misleidde hij slachtoffers door te geloven dat hij de systeemautoriteit heeft. Je hebt misschien zijn demovideo van Social Engineering Attack op YouTube gezien. Kijk er naar!
In dit bericht ga ik je het eenvoudige scenario laten zien van hoe je Social Engineering Attack in het dagelijks leven kunt implementeren. Het is zo eenvoudig, volg gewoon de tutorial zorgvuldig. Ik zal het scenario duidelijk uitleggen.
Social Engineering Attack om toegang tot e-mail te krijgen
Doel : accountgegevens voor e-mailreferenties verkrijgen
Aanvaller : L
Doelwit : Mijn vriend. (Echt? ja)
Apparaat : Computer of laptop met Kali Linux. En mijn mobiele telefoon!
Omgeving : Kantoor (aan het werk)
Hulpmiddel : Toolkit voor sociale engineering (SET)
Dus op basis van het bovenstaande scenario kun je je voorstellen dat we het apparaat van het slachtoffer niet eens nodig hebben, ik gebruikte mijn laptop en mijn telefoon. Ik heb alleen zijn hoofd en vertrouwen nodig, en ook domheid! Want, weet je, menselijke domheid kan niet worden gepatcht, serieus!
In dit geval gaan we eerst een phishing Gmail-accountaanmeldingspagina instellen in mijn Kali Linux en mijn telefoon gebruiken als een triggerapparaat. Waarom heb ik mijn telefoon gebruikt? Ik zal het hieronder uitleggen, later.
Gelukkig gaan we geen tools installeren, onze Kali Linux-machine heeft SET (Social Engineering Toolkit) vooraf geïnstalleerd, dat is alles wat we nodig hebben. Oh ja, als je niet weet wat SET is, zal ik je de achtergrond van deze toolkit geven.
Social Engineering Toolkit, is een ontwerp om penetratietests aan de menselijke kant uit te voeren. SET ( binnenkort ) is ontwikkeld door de oprichter van TrustedSec ( https://www.trustedsec.com/social-engineer-toolkit-set/ ) , dat is geschreven in Python, en het is open source.
Oké, dat was genoeg, laten we de oefening doen. Voordat we de social engineering-aanval uitvoeren, moeten we eerst onze phishing-pagina instellen. Hier zit ik op mijn bureau, mijn computer (met Kali Linux) is verbonden met internet via hetzelfde wifi-netwerk als mijn mobiele telefoon (ik gebruik Android).
STAP 1. PHISING-PAGINA INSTELLEN
Setoolkit gebruikt de Command Line-interface, dus verwacht hier geen 'clicky-clicky' dingen. Open terminal en typ:
~# settoolkitJe ziet de welkomstpagina bovenaan en de aanvalsopties onderaan, je zou zoiets als dit moeten zien.
Ja, natuurlijk gaan we optreden Social engineering-aanvallen , dus kies nummer 1 en druk op ENTER.
En dan krijg je de volgende opties te zien en kies je nummer 2. Website-aanvalvectoren. Raken BINNENKOMEN.
Vervolgens kiezen we nummer 3. Aanvalsmethode voor credential Harvester . Raken Binnenkomen.
Verdere opties zijn smaller, SET heeft voorgeformatteerde phishing-pagina's van populaire websites, zoals Google, Yahoo, Twitter en Facebook. Kies nu nummer 1. Websjablonen .
Omdat mijn Kali Linux-pc en mijn mobiele telefoon zich in hetzelfde wifi-netwerk bevonden, dus voer gewoon de aanvaller in ( mijn computer ) lokaal IP-adres. en slaan BINNENKOMEN.
PS: Om het IP-adres van uw apparaat te controleren, typt u: 'ifconfig'
Oké, tot nu toe hebben we onze methode en het IP-adres van de luisteraar ingesteld. In deze opties staan voorgedefinieerde webphishing-sjablonen zoals ik hierboven vermeldde. Omdat we de Google-accountpagina hebben gericht, dus we kiezen nummer 2. Google . Raken BINNENKOMEN .
deNu start SET mijn Kali Linux-webserver op poort 80, met de nep-aanmeldingspagina van Google-account. Onze setup is klaar. Nu ben ik klaar om mijn vriendenkamer binnen te lopen om in te loggen op deze phishing-pagina met mijn mobiele telefoon.
STAP 2. SLACHTOFFERS JAGEN
De reden waarom ik een mobiele telefoon (Android) gebruik? Laten we eens kijken hoe de pagina wordt weergegeven in mijn ingebouwde Android-browser. Dus ik heb toegang tot mijn Kali Linux-webserver op 192.168.43.99 in de browser. En hier is de pagina:
Zien? Het ziet er zo echt uit dat er geen beveiligingsproblemen op worden weergegeven. De URL-balk met de titel in plaats van de URL zelf. We weten dat domme mensen dit herkennen als de originele Google-pagina.
Dus ik breng mijn mobiele telefoon en loop mijn vriend binnen en praat met hem alsof ik niet heb ingelogd bij Google en handel als ik me afvraag of Google is gecrasht of een fout heeft gemaakt. Ik geef mijn telefoon en vraag hem om te proberen in te loggen met zijn account. Hij gelooft mijn woorden niet en begint meteen zijn accountgegevens in te typen alsof hier niets ergs zal gebeuren. Hahaha.
Hij heeft alle vereiste formulieren al getypt en laat me op de . klikken Inloggen knop. Ik klik op de knop... Nu wordt hij geladen... En toen kregen we de hoofdpagina van de Google-zoekmachine, zoals deze.
PS: Zodra het slachtoffer op de . klikt Inloggen knop, stuurt het de authenticatie-informatie naar onze luisteraarmachine en wordt het gelogd.
Er gebeurt niets, zeg ik hem, de Inloggen knop is er nog steeds, u heeft echter niet kunnen inloggen. En dan open ik weer de phishing-pagina, terwijl een andere vriend van deze idioot naar ons toekomt. Nee, we hebben nog een slachtoffer.
Totdat ik het gesprek onderbreek, ga ik terug naar mijn bureau en bekijk het logboek van mijn SET. En hier hebben we,
Goccha… Ik pwnd je!!!
Tot slot
Ik ben niet goed in verhalen vertellen ( dat is het punt ), om de aanval tot nu toe samen te vatten, zijn de stappen:
- Open 'settoolkit'
- Kiezen 1) Social engineering-aanvallen
- Kiezen 2) Website-aanvalvectoren
- Kiezen 3) Aanvalsmethode voor legitimatiegegevens
- Kiezen 1) Websjablonen
- Voer de in IP adres
- Kiezen Google
- Veel plezier met jagen ^_^