 |
29.12.2017, 16:57
|
|
Участник форума
Регистрация: 04.11.2017
Сообщений: 299
С нами:
4485744
Репутация:
0
|
|
[0] - [Вступление.] 
Всех приветствую дорогие друзья! Решил я сегодня завести речь о социальной инженерии(помимо моих 3-х циклов продолжение которых вы увидите после нового года). Почему о социально инженерии?
Да по тому, что мало что о ней написано на нашем прекрасном форуме. В основном и писать нечего - все же лучше практика!
Я постараюсь рассказать вам о некоторых тонкостях и способах которые использую лично я, и о которых был наслышан) В путь!
Если вы уже знакомы с СИ, то можете пропустить пункты 1 и 2 так как не найдете там ничего нового.
[1] - [Что это такое?]
Для начала не много от себя
Социальная Инженерия - это методы управления действиями человека воздействуя на него какой-либо информацией.
Теперь сравним с wiki
Социальная инженерия - метод управления действиями человека без использования технических средств. Метод основан на использовании слабостей человеческого фактора и считается очень разрушительным.
Разницы практически нет. Но хотелось бы добавить, что информация - это самое страшное оружие(фактор воздействия).
[2] - [Где хакеры применяют СИ?]
В основном в 1/4 хакерских атак проводимых на пользователей проявляется социальная инженерия.
В частности:- Фишинг атака
- Brute Force(при сборе информации)
- Доставка малвари
- Скрытие малвари
- Проявим в MITM
- При проведении CSS(XSS) атаки
- CSRF атака(внушение перейти по ссылке)
И еще можно привести множество примеров. В следующем пункте рассмотрим само применение СИ.
[3] - [Вид изнутри]
Фишинг.
Мы уже рассматривали, что же из себя представляет фишинг в моем цикле "Получение доступа к аккаунтам социальных сетей" и более подробно в [S]link removed[/S].
Но теперь посмотрим на фишинг с обратной стороны - со стороны пользователя!
На ведь нужно используя социальную инженерию:- Скрыть фишинг
- Доставить пользователю
И все это дело занимает не мало времени)
Ну-с друзья, приступим!
1. Перейдем по ссылке и обратим внимание на все детали какиетолько могут быть.
Видим, что деталей которые может заметить пользователь просто куча!
2. Заметим, что при переходе по ссылке, мы попадаем с социальной сети на фишинг все той же социальной сети, причем сама странность в том, что мы попали на допустим страницу авторизации с открытой в другой вкладке этой же соц. сетью(реальной), вызовет сомненья у нормального человека. О том как заменить вкладки я писал в книге.
п.с: мы смотрим со стороны пользователя на пока что плохой фишинг.
3. Также все зависит от того, как пользователю был подсунут фишинг. Чаще всего очень плохой фишинг впаривают очень очень плохо. А именно:
Привет!
Я создал новый паблик. Можешь подписаться?
А теперь проанализируем хороший фишинг(в моей книге описано создание приличного фишинга).
1. Смотрим
Как видим по мелким деталям - все изменилось.
2. Вкладка с моей социальной сетью заменилась фишингом, а в новой вкладке открыт сайт для отводки глаз.
Также прошу заметить важную деталь, что при авторизации, фишинг произведет редирект вас на настоящую соц. сеть в которой вы уже авторизованы. И произойдет магия будто вы и вправду авторизовались после например ошибки.
3. Как правило при хорошем фишинге вам и впарить его постараются красиво. Например в ВК вам придет оповещение от "Администрации" следующего типа:
Вот так в фишинге мы проявили социальную инженерию. Хакер воздействует на пользователя не только полученной информацией, но и правильно сконструированной не правдой)
Brute Force(при добычи информации).
При проведении подбора пароля, мы должны узнать кучу информации о цели с последующим ее комбинированием(для составления пароля).
Помимо пароля нам конечно же нужен номер телефона. После месяца(в) а то и больше общения с целью. Мы наверняка входим в доверие и пытаемся получить какую-либо более важную информацию. Опять таки давайте встанем на место цели и посмотрим с другой стороны.
В доверие мы вошли не до конца. Поэтому я как цель ясное дело не доверяю свою информацию другому человеку.
Перед тем как начать общение с целью укажите в своей фейковой странице город который указан у цели.
Не всегда у цели указан реальный город!
Поэтому обратимся к фотографиям и порыскаем по exif данным. Я когда доходит дело, использую exiftool.
Далее смотрим на возраст. Он опять таки указан не всегда точный, поэтому снова обратим внимание на фото. А самое главное на манеру общения. Это можно сделать почитав посты на странице пользователя. Обратите внимание на то, в каких группах(пабликах) участвует цель. Возраст мы примерно определили. Себе на фейк ставим +/- 1 от этого возраста. Также в этой же или в другой социальной сети ищем пользователя подходящего по возрасту и просто добавляем себе на фейк эти фотографии.
Теперь перейдем к брутфорсу. Нам нужно получить более важную информацию. И мы создали наш танк для того чтоб пойти в бой!
Допустим выудили номер телефона. Теперь нужно проверить, привязан ли он к этому аккаунту.
Переходим по "Забыли пароль"(мобильной версии). Пишем номер который удалось узнать и фамилию пользователя. Если пользователь с такими данными имеется, то ясно дело что номер который мы вводили ранее привязан к данной странице.
Значит что тот номер который я выудил привязан к странице данного пользователя.
А если не получилось, то постарайтесь узнать нет ли у данного пользователя фейка.
А действия далее нас уже не интересуют. Так как сегодня мы разбираемся только с СИ.
На этом все друзья.
С наступающим вас!
П.С: в этой статье есть маленький новогодний таск. Первым трем решившим +1 репутации)
|
|
|
29.12.2017, 17:13
|
|
Постоянный
Регистрация: 28.12.2017
Сообщений: 360
С нами:
4407912
Репутация:
0
|
|
C0D3BY_NeW_Year_H4ck
|
|
|
|
29.12.2017, 17:15
|
|
Участник форума
Регистрация: 04.11.2017
Сообщений: 299
С нами:
4485744
Репутация:
0
|
|
От следующих участников требую решение!
|
|
|
|
29.12.2017, 23:23
|
|
Постоянный
Регистрация: 11.12.2017
Сообщений: 512
С нами:
4432095
Репутация:
0
|
|
Тааакс, по таску.
По категории получаем Стегано+Крипто
На ум сразу приходит мысль посмотреть инфу о фотке, проверяем в стегсолв, в notepad++ или http://exif.regex.info/exif.cgi
Ну тут сразу в глаза бросается коммент, и то что он очень сильно похож на base64, то что часто встречается.
Но это не так, если хорошенько приглядеться то это base32
В итоге
 |
|
|
|
29.12.2017, 23:24
|
|
Постоянный
Регистрация: 28.12.2017
Сообщений: 360
С нами:
4407912
Репутация:
0
|
|
Чужой сказал(а):
Что такое "таск" и что нужно решить ?
Таск - это задание, в конце статьи ссылка.
|
|
|
|
29.12.2017, 23:34
|
|
Участник форума
Регистрация: 04.11.2017
Сообщений: 299
С нами:
4485744
Репутация:
0
|
|
HtOnion сказал(а):
нашел этот коммент, догнал что это 32 а не 64,но при декоде кракозябры были((( и на этом остановился
т.к. я уже закончил этот мини конкурс, то вот ответ в один скрин
|
|
|
|
29.12.2017, 23:40
|
|
Постоянный
Регистрация: 11.12.2017
Сообщений: 512
С нами:
4432095
Репутация:
0
|
|
HtOnion сказал(а):
при декоде кракозябры были
используй этот или вообще топовый https://www.dcode.fr/base-32-encoding, да и сайт можно в закладки там все по крипте
|
|
|
|
30.12.2017, 00:01
|
|
Постоянный
Регистрация: 28.12.2017
Сообщений: 360
С нами:
4407912
Репутация:
0
|
|
Кому интересно я сделал так : file task.jpg
--------
task.jpg: JPEG image data, JFIF standard 1.01, resolution (DPI), density 96x96, segment length 16, comment: "IMYEIM2CLFPU4ZKXL5MWKYLSL5EDIY3LBIFA====", baseline, precision 8, 1600x1000, frames 3
--------
IMYEIM2CLFPU4ZKXL5MWKYLSL5EDIY3LBIFA==== Decode->C0D3BY_NeW_Year_H4ck
|
|
|
|
|
|
Предыдущая тема
Следующая тема
|
Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)
|
|
|
|
Линейный вид
