Metasploit - วิศวกรรมสังคม

วิศวกรรมสังคมสามารถกำหนดได้อย่างกว้าง ๆ ว่าเป็นกระบวนการในการดึงข้อมูลที่ละเอียดอ่อน (เช่นชื่อผู้ใช้และรหัสผ่าน) โดยการหลอกลวง บางครั้งแฮกเกอร์ใช้เว็บไซต์ปลอมและการโจมตีแบบฟิชชิ่งเพื่อจุดประสงค์นี้ ให้เราพยายามทำความเข้าใจแนวคิดของการโจมตีทางวิศวกรรมสังคมผ่านตัวอย่างบางส่วน

ตัวอย่าง 1

คุณต้องสังเกตเห็นเอกสารเก่า ๆ ของ บริษัท ถูกทิ้งลงในถังขยะเป็นขยะ เอกสารเหล่านี้อาจมีข้อมูลที่ละเอียดอ่อนเช่นชื่อหมายเลขโทรศัพท์หมายเลขบัญชีหมายเลขประกันสังคมที่อยู่ ฯลฯ หลาย บริษัท ยังคงใช้กระดาษคาร์บอนในเครื่องแฟกซ์ของตนและเมื่อม้วนเสร็จแล้วคาร์บอนจะเข้าไปในถังขยะซึ่งอาจมีร่องรอย ของข้อมูลที่ละเอียดอ่อน แม้ว่าจะฟังดูไม่น่าจะเป็นไปได้ แต่ผู้โจมตีสามารถดึงข้อมูลจากที่ทิ้งขยะของ บริษัท ได้อย่างง่ายดายโดยการลอบเข้าไปในขยะ

ตัวอย่าง 2

ผู้โจมตีอาจตีสนิทกับบุคลากรของ บริษัท และสร้างความสัมพันธ์ที่ดีกับเขาในช่วงเวลาหนึ่ง ความสัมพันธ์นี้สามารถสร้างได้ทางออนไลน์ผ่านเครือข่ายสังคมห้องสนทนาหรือออฟไลน์ที่โต๊ะกาแฟในสนามเด็กเล่นหรือด้วยวิธีการอื่นใด ผู้โจมตีทำให้เจ้าหน้าที่ในสำนักงานมีความมั่นใจและในที่สุดก็ขุดข้อมูลที่ละเอียดอ่อนที่จำเป็นโดยไม่แจ้งเบาะแส

ตัวอย่างที่ 3

วิศวกรสังคมอาจแสร้งทำเป็นพนักงานหรือผู้ใช้ที่ถูกต้องหรือวีไอพีโดยการปลอมบัตรประจำตัวประชาชนหรือเพียงแค่โน้มน้าวให้พนักงานมีตำแหน่งใน บริษัท ผู้โจมตีดังกล่าวสามารถเข้าถึงพื้นที่ จำกัด ทางกายภาพได้ดังนั้นจึงมีโอกาสเพิ่มเติมสำหรับการโจมตี

ตัวอย่างที่ 4

มันเกิดขึ้นในกรณีส่วนใหญ่ที่ผู้โจมตีอาจอยู่รอบตัวคุณและสามารถทำได้ shoulder surfing ในขณะที่คุณพิมพ์ข้อมูลที่ละเอียดอ่อนเช่น ID ผู้ใช้และรหัสผ่าน PIN ของบัญชีเป็นต้น

การโจมตีทางวิศวกรรมสังคมใน Metasploit

ในส่วนนี้เราจะพูดถึงวิธีที่คุณสามารถเริ่มการโจมตีแบบวิศวกรรมสังคมโดยใช้ Metasploit

ก่อนอื่นไปที่โฮมเพจของ Metasploit แล้วคลิก Phishing Campaignดังที่แสดงในภาพหน้าจอต่อไปนี้

ป้อนชื่อโครงการแล้วคลิกถัดไป

ป้อนชื่อแคมเปญ ในกรณีของเราก็คือLab. จากนั้นคลิกไฟล์E-mail ไอคอนภายใต้ Campaign Components.

ในหน้าจอถัดไปคุณต้องจัดหาข้อมูลที่ร้องขอตามแคมเปญของคุณ

จากนั้นคลิกไฟล์ Contentไอคอน (หมายเลข 2) หากคุณต้องการเปลี่ยนแปลงอะไรในเนื้อหาของอีเมล หลังจากเปลี่ยนเนื้อหาแล้วให้คลิกSave.

จากนั้นคลิกไฟล์ Landing Page ไอคอนเพื่อตั้งค่า URL ที่คุณต้องการเปลี่ยนเส้นทางผู้ใช้ที่ถูกหลอก

ดังที่แสดงในภาพหน้าจอต่อไปนี้ให้ป้อน URL ที่ Path แล้วคลิก Next.

ในหน้าจอถัดไปคลิกปุ่ม Clone Websiteซึ่งจะเปิดหน้าต่างอื่น ที่นี่คุณต้องเข้าสู่เว็บไซต์ที่คุณต้องการโคลน ดังที่คุณเห็นในภาพหน้าจอต่อไปนี้เราได้ป้อนtutorialpoint.comในด้านนี้. จากนั้นคลิกไฟล์Clone ปุ่มและบันทึกการเปลี่ยนแปลงของคุณ

จากนั้นคลิกไฟล์ Redirect Page ปุ่ม.

คลิก Next และคุณจะเห็นหน้าจอต่อไปนี้

คุณสามารถคลิกไฟล์ Clone Website เพื่อโคลนเว็บไซต์ที่เปลี่ยนเส้นทางอีกครั้ง

ถัดไปใน Server Configuration คลิกที่ E-mail Server ปุ่ม.

ในหน้าจอถัดไปให้ป้อน mailserver settingsที่จะใช้เป็นตัวถ่ายทอดในการส่งอีเมลฟิชชิ่งนี้ จากนั้นคลิกSave.

ใน Notifications มีตัวเลือกให้ Notify others before launching the campaign. คุณสามารถเลือกใช้ตัวเลือกนี้เพื่อแจ้งให้ผู้อื่นทราบ จากนั้นคลิกSave.

ถัดไปคุณจะเห็นหน้าต่างใหม่ ที่นี่คุณต้องคลิกไฟล์Start ปุ่มเพื่อเริ่มกระบวนการส่งอีเมลฟิชชิ่ง

Metasploit มีตัวเลือกในการสร้างรายงานสถิติของแคมเปญฟิชชิงของคุณ จะปรากฏดังที่แสดงในภาพหน้าจอต่อไปนี้