Kali渗透测试:社会工程学工具

Kali渗透测试:社会工程学工具

人是网络安全中一个远比设备和程序更重要的因素。在网络安全中,社会工程学所攻击的目标 就是人。在现实中,往往人的一点疏忽就导致了网络中的所有防御手段形同虚设。

1.1 社会工程学的概念

社会工程学是一个通过研究受害者心理,并以此诱使受害者做出配合,从而达到自身目的的学科。黑客米特尼克(Mitnick)在他的作品《反欺骗的艺术》中第一次提到社会工程学,他认为长期以来在网络安全领域中,社会工程学指的就是利用受害者的心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱的手段,一些犯罪分子通过欺骗等手段来谋求利益,这也是网络安全的一大隐患。

1.2 Kali Linux中的社会工程学工具包

在Kali Linux中包含一个非常流行的工具包----社会工程学工具包(Social Engineer Toolkit, SET)。利用这个工具包,再加上使用者的“演技”,常常会让受害者在不知不觉中就掉入陷阱。限于法律和法规的限制,仅探讨SET的使用方法。

SET由黑客David Kennedy (ReL1K)编写。 这不只是个单独的工具,而是常用的社会工程学工具的集合,其中包含许多渗透测试工具。

首先,启动SET,这个工具包属于第13个分类Social Engineering Tools,如下图所示:

使用这个工具包需要root用户的权限,启动时需要输入密码kali。启动SET之后的节目如下图所示:

SET是一个菜单驱动的工具包,启动之后的SET工作界面如下图所示:

选择对应的序号就可以使用指定的测试方法。上图中一共有7个选项,分别是:

1)Social-Engineering Attacks:社会工程学攻击

2)Penestration Testing (Fast-Track):渗透测试(Fast-Track)

3)Third Party Modules:第三方模块

4)Update the Social-Engineer Toolkit:升级社会工程学工具包

5)Update SET configuration:升级SET配置

6)Help, Credits, and About:帮助等

我们按照这个系统提供的菜单来熟悉SET提供的功能。我们查看第一个选项—Social-Engineering Attacks中包含的功能,如下图所示:

Social-Engineering Attacks 中一共包含10个功能,分别是:

1)Spear-Phishing Attack Vectors:鱼叉式网络钓鱼攻击向量

2)Website Attack Vectors:网页攻击向量

3)Infectious Media Generator:感染式媒介生成器

4) Create a Payload and Listener:创建Payload和Listener

5)Mass Mailer Attack:海量邮件攻击

6)Arduino-Based Attack Vector:基于Arduino的硬件攻击向量

7)Wireless Access Point Attack Vector:无线热点攻击向量

8)QRCode Generator Attack Vector:二维码攻击向量

9)Powershell Attack Vectors:Powershell攻击向量

10)Third Party Modules:第三方模块

99)返回到主菜单。

1.3 用户名和密码的窃取

测试目标单位的 用户是否会严格遵守管理协议,是否对来历不明的地址做了充分的防御。首先,在上图所示的菜单中选择“Website Attack Vectors”,采用“Credential Harvester Attack Method”(信用盗取攻击方法)攻击方式。如下图所示:

这第3项是一种专门用来窃取用户信息的工具,通过这个工具可以迅速克隆出一个网站,这个网站需要用户名和密码,用户在输入了用户名和密码之后,就会被Kali Linux服务器窃取。

接下来,需要选择创建伪造网站的方式,这里展示的是常见3种方式,如下图所示:

“Web Templates”(网站模块)是指利用SET中自带的模版作为钓鱼网站,SET中选择了几个国外比较有名的网站,如Yahoo、Gmail等。

“Site Clone”(网站克隆)是SET中一个极为强大的功能,可以克隆任何网站。你可以使用它模拟出想要冒充的网站,如某个单位的办公系统等。

“Custom Import”(自定义导入)允许你导入自己设计的网站。

这里我们选择第二种方式,克隆一个已有的网站, 然后系统会提示我们输入一个用来接收窃取到的用户名和密码的IP地址。如下图所示:

系统会要求我们输入一个用来克隆的网址,这里我以IBM的一个测试网站作为克隆的网站(出于遵守法律考虑)下图红框是测试网址,当SET中出现如下图所示的界面时表示 我们已经成功启动了伪造好的网站服务器。

现在,我们在另外一台计算机(Win2008 R2)上访问这个伪造的网站,如下图所示:

注意:这个网站和真实网站的登录界面事一模一样的。用户填写用户名(Username)和密码(Password)之后单击“Login”按钮,可提交信息,如下图所示:

返回到Kali,可以看到截获的信息如下图所示:

图中黄框内的内容就是刚才用户输入的用户名和密码。但这并不是真正的服务器,我们的网站只是一个登录界面,是不可能让用户真正登录网站的。我们经常有这种经历,就是在某个网站的登录界面输入了用户名和密码之后,刷新页面,我们就得再次输入用户名和密码,这时我们通常认为是第一次输入的时候不小心输错了,等再次输入用户名和密码之后,如果能进入网站,也就不再理会了。

SET利用了我们这个心理,当用户第一次输入用户名和密码之后,用户的浏览器就会进行跳转,跳转到真实的网站,如下图所示:

如果用户输入了正确的用户名和密码就可以登录网站了,就像什么都没发生过。这是一种隐蔽性极强的攻击方式。

建议

多看书

阅读永远是最有效的方法,尽管书籍并不一定是最好的入门方式,但书籍的理解需要一定的基础;但是就目前来看,书籍是比较靠谱的入门资料。

现在Web安全书籍比较多,因此大家在学习的过程中可以少走了不少的弯路。如果以上推荐书籍阅读有困难,那就找自己能看得进的 Web 安全的书

当然纸上谈兵终觉浅,最好还是实践一下。

对于那些没有学习方向和资料的同学,可以看下我整理的资源,这份资料经历过社会的实践,可以说是当下全网较全的网络安全知识体系:
①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

如果你对网络安全入门感兴趣,那么你需要的话可以点击这里👉网络安全重磅福利:入门&进阶全套282G学习资源包免费分享!

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值