Metasploit - inżynieria społeczna

Inżynierię społeczną można ogólnie zdefiniować jako proces wydobywania poufnych informacji (takich jak nazwy użytkowników i hasła) przy użyciu sztuczek. Hakerzy czasami wykorzystują w tym celu fałszywe strony internetowe i ataki phishingowe. Spróbujmy zrozumieć koncepcję ataków socjotechnicznych na kilku przykładach.

Przykład 1

Musiałeś zauważyć stare dokumenty firmy wyrzucane do śmietników jako śmieci. Dokumenty te mogą zawierać poufne informacje, takie jak imiona i nazwiska, numery telefonów, numery kont, numery ubezpieczenia społecznego, adresy itp. Wiele firm nadal używa kalki w swoich faksach, a gdy rolka się skończy, jej węgiel trafia do kosza na śmieci, na którym mogą znajdować się ślady wrażliwych danych. Chociaż brzmi to nieprawdopodobnie, napastnicy mogą łatwo odzyskać informacje z firmowych śmietników, okradając śmieci.

Przykład 2

Atakujący może zaprzyjaźnić się z personelem firmy i nawiązać z nim dobre relacje przez pewien czas. Relację tę można nawiązać online za pośrednictwem sieci społecznościowych, pokojów rozmów lub offline przy stoliku do kawy, na placu zabaw lub w jakikolwiek inny sposób. Atakujący traktuje pracowników biura w tajemnicy i ostatecznie wykopuje wymagane poufne informacje bez podawania wskazówek.

Przykład 3

Inżynier społeczny może udawać pracownika, ważnego użytkownika lub VIP-a, sfałszując dowód osobisty lub po prostu przekonując pracowników o swoim stanowisku w firmie. Taka osoba atakująca może uzyskać fizyczny dostęp do obszarów o ograniczonym dostępie, zapewniając w ten sposób dalsze możliwości ataków.

Przykład 4

W większości przypadków zdarza się, że osoba atakująca może znajdować się w pobliżu Ciebie i może to zrobić shoulder surfing podczas wpisywania poufnych informacji, takich jak identyfikator użytkownika i hasło, kod PIN do konta itp.

Atak socjotechniczny w Metasploit

W tej sekcji omówimy, w jaki sposób można zainicjować atak inżynierii społecznej za pomocą Metasploit.

Przede wszystkim przejdź do strony głównej Metasploit i kliknij Phishing Campaign, jak pokazano na poniższym zrzucie ekranu.

Wpisz nazwę projektu i kliknij Dalej.

Wpisz nazwę kampanii. W naszym przypadku tak jestLab. Następnie kliknijE-mail ikona pod Campaign Components.

Na następnym ekranie musisz podać żądane dane zgodnie z kampanią.

Następnie kliknij Contentikona (numer 2), jeśli chcesz zmienić cokolwiek w treści wiadomości e-mail. Po zmianie treści kliknijSave.

Następnie kliknij Landing Page ikona, aby ustawić adresy URL, pod które chcesz przekierować oszukanych użytkowników.

Jak pokazano na poniższym zrzucie ekranu, wprowadź adres URL pod adresem Path i kliknij Next.

Na następnym ekranie kliknij przycisk Clone Websiteco otworzy kolejne okno. Tutaj musisz wprowadzić witrynę, którą chcesz sklonować. Jak widać na poniższym zrzucie ekranu, weszliśmytutorialpoint.comw tej dziedzinie. Następnie kliknijClone i zapisz zmiany.

Następnie kliknij Redirect Page przycisk.

Kliknij Next a zobaczysz następujący ekran.

Możesz kliknąć Clone Website przycisk, aby ponownie sklonować przekierowaną witrynę.

Następnie w Server Configuration kliknij plik E-mail Server przycisk.

Na następnym ekranie wprowadź mailserver settingsktóry będzie używany jako przekaźnik do wysyłania tej wiadomości phishingowej. Następnie kliknijSave.

w Notifications sekcja, istnieje opcja Notify others before launching the campaign. Możesz skorzystać z tej opcji, aby powiadomić innych. Następnie kliknijSave.

Następnie zobaczysz nowe okno. Tutaj musisz kliknąćStart przycisk, aby zainicjować proces wysyłania wiadomości phishingowych.

Metasploit oferuje opcje generowania raportów statystycznych dotyczących kampanii phishingowej. Pojawi się tak, jak pokazano na poniższym zrzucie ekranu.