【beef工具-01】神器beef的安装与简介-CSDN博客

本文链接：https://blog.csdn.net/m0_64378913/article/details/124776192

本文详细介绍了BeEF（Browser Exploitation Framework）的安装过程、关键网址及简单测试。BeEF是一个专注于浏览器渗透测试的开源工具，通过XSS漏洞利用JS脚本与Metasploit协同工作。在Kali Linux中，通过`apt-get install beef-xss`进行安装，并需修改默认密码。BeEF的重要网址包括管理控制台、shellcode探针和测试网址。完成安装后，通过Web界面管理控制台可观察到被‘钓鱼’的浏览器。简单测试中，通过访问特定URL，可在控制台上看到测试系统已‘上钩’。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1 beef概述

1 beef简介

BeEF：Browser Exploitation Framework(BeEF) 是目前最强大的浏览器开源渗透测试框架。它是一款专注于网络浏览器的渗透测试工具。通过XSS漏洞配合JS脚本和 Metasploit进行渗透; BeEF是基于Ruby语言编写的,并且支持图形化界面,操作简单。

随着人们越来越担心针对客户端（包括移动客户端）的网络攻击，BeEF 允许专业的渗透测试人员通过使用客户端攻击向量来评估目标环境的实际安全状况。与其他安全框架不同，BeEF 超越了加固的网络边界和客户端系统，并在一扇敞开的门的上下文中检查可利用性：Web 浏览器。 BeEF 将挂钩一个或多个 Web 浏览器，并将它们用作启动定向命令模块的滩头阵地，进一步攻击浏览器系统。

1.2 beef的相关文件与启动

beef是一个XSS神器，也是是XSS漏洞的利用平台，其相关文件与启动如下：

（1）工具目录 ： /usr/share/beef-xss

（2）配置文件 ： config.yaml

（3）启动beef 工具的方法

beef-xss
/usr/share/beef-xss/beef
注意启动时需要修改默认密码

2 beef安装

新版kali里面没有自带该软件，需要安装，安装前请确保kali虚拟机能正常上网。对于kali虚拟机连接真实网络，图形化的网络信息配置方法请查看《kali中间人攻击》中的3.1节相关内容；通过配置文件永久性的网络信息配置可参考《【Linux系统】第11节 Linux系统网络信息查看与配置（包括CentOS和Kali）》中的3.1节相关内容。
beEF安装的具体步骤如下：
（1）打开终端，并输入命令sudo -i 切换到管理员账户。
在这里插入图片描述

（2）输入安装命令apt-get install beef-xss，安装过程如下，若碰到询问是否执行时，输入y。在接近结束时，提示有几个包没能安装。
在这里插入图片描述

（3）根据提示，使用命令apt-get update

（4）再次使用命令安装apt-get install beef-xss，执行过程如下，成功安装.在安装过程中有弹出询问是否继续执行，选择是。
在这里插入图片描述

（5）启动beEF软件。使用beef-xss启动beEF软件。第一次启动时会强制要求修改密码，此处修改为123456。
在这里插入图片描述

（6）当命令执行完毕后弹出此窗口，账户为beef，密码为我们刚刚修改的123456。
在这里插入图片描述

3 beef的重要网址

在启动beEF时，终端命令行中出现以下三个重要网址，功能介绍如下：

Web界面管理控制台：http://127.0.0.1:3000/ui/panel。用于查看上钩的鱼儿以及对不同的目标进行管理操作
shellcode探针：http://127.0.0.1:3000/hook.js，只要有人运行该文件，就会在管理控制台上线（上钩）。
测试网址：http://127.0.0.1:3000/demos/butcher/index.html，只要有人访问该网站，也会在管理控制台上线（上钩）。
注意，其他机器访问时则是将上述127.0.0.1换成kali系统的IP地址。

4 简单测试

（1）Kali系统，打开神器beef，当命令执行完毕后弹出此窗口，账户为beef，密码为我们刚刚修改的123456。
在这里插入图片描述

（2）win2008系统打开IE浏览器，访问http://172.16.1.10:3000/demos/butcher/index.html，测试能否上钩。注意，在测试前win2008与kali处于同一个局域网。