type
status
date
slug
summary
tags
category
icon
password
Property
Jun 23, 2023 11:48 AM
🗒️实验任务
通过使用工具setoolkit来进行网络钓鱼，窃取用户信息
📱实验环境
- Virtual Box 6.1
- Kali 2022
- Lenovo 小新13Pro 自带Wifi-6 网卡
💻实验步骤
安装setoolkit
kali默认安装了setoolkit，若想重新安装，可输入：
使用手册
启动命令
setoolkit
菜单栏我们翻译一下，具体功能如下
社会工程攻击
渗透测试（快速跟踪）
第三方模块
💣实战测试
1.用setoolkit自带web钓鱼盗号
用社会工程攻击模块进行
- 选择网页攻击
- 选择钓鱼网站攻击
- 选择网页模板
- 输入本地IP地址
- 选择钓鱼网站模块，例如Google或者Twitter登录页
- 然后我们访问上述中添加的本地ip地址，就能看到我们伪造的钓鱼网页了：
- 然后输入用户密码，然后在终端就可以看见了
2.克隆登录网页实现钓鱼盗号
用社会工程攻击模块
- 选择网页模块攻击
- 选择钓鱼网站攻击
- 选择网站克隆
- 输入要克隆登录的地址
警告：此处我使用的是一个第三方的图床软件的登录页，这个图床的运营时间超过了四年，在图传服务平台算是生命周期非常长的了
最终成功将用户名和密码捕获：
随后，我尝试伪造校园网的登录页，检验是否可以成功钓鱼：
查看返回结果，发现返回的密码应该使用了某种方式加密了，并且查看字段，可以发现验证码等字段是没有返回值的，并且网站返回给了一个Param的值，我初步推测是根据用户输入的这些字段转化得到的验证值，从而有效保证用户不被这种钓鱼网站窃取账号密码：
从上面的两种情况，我们能看到，如果网站的后端对用户的密码等敏感字段不进行任何加密手段处理或者验证防范的话，攻击者能够轻易得到用户的个人账户信息！
3.生成URL二维码
用社会工程攻击模块
- QRCode生成器攻击向量
- 然后输入URL地址
- 他就会访到这个目录里面
- 我们进入到该目录下找到生成的对应的二维码图片：
🧿实验总结
- 网络安全威胁的现实性：通过实现网络钓鱼的过程，网络攻击者可以利用各种方式窃取我们的敏感信息。这使我们更加意识到网络安全威胁的现实性，以及我们需要采取措施来保护自己。
- 用户行为的重要性：网络钓鱼攻击依赖于用户的行为，例如点击恶意链接或输入敏感信息。因此，我们需要更加谨慎和警惕，不要轻易相信来自不明来源的信息。
- 钓鱼攻击的多样性：setoolkit可以帮助我们实现各种类型的钓鱼攻击，包括基于网站、邮件、社交媒体等的攻击。这使我们更加了解钓鱼攻击的多样性和复杂性，在应对这些攻击时需要使用多种安全方案。
- 网页安全加密的必要性：通过我们的实验操作，我们能够清楚感受到，如果某个网页没有对用户的敏感信息进行一定程度的加密或者验证手段的设置，攻击者能够轻而易举就能获得被钓者的信息，因此在部署网站时一定要考虑对于信息加密的防御手段
🔍参考资料
- 作者:百川🌊
- 链接:https://www.baichuanweb.cn/article/example-48
- 声明:本文采用 CC BY-NC-SA 4.0 许可协议，转载请注明出处。
