如何利用Metasploit制造一个键盘窃听网站

2012-06-08 278068人围观 ,发现 8 个不明物体 WEB安全文章

大家都应该知道网络钓鱼是什么吧,那么接下来这篇文章会来讲述如何利用Metasploit制造一个键盘窃听网站。

网络钓鱼的历史:

网络钓鱼技术始于1987年,于1995年被第一次发现。

攻击者通过钓鱼技术获取受害者的一些信息,包括用户名、密码、信用卡细节等等。
一般来说,攻击者会制造一个假冒的网站诱惑受害者进入并输入他的信息,比如仿造gmail、雅虎、facebook的登录框。

Javascript keylogger简介:

Javascript keylogger可以捕捉通过网络的键盘击键事件。
使用JavaScript keylogger的优势在于:他不需要我们预先拥有一个服务器空间,然后再上传一个假冒的网页,写伪造的页面、插链接……

再写个蛋疼的采集脚本(如下图)……

使用Metasploit制造键盘窃听网站:

1.打开msfconsle

2.搜索Keylogger

3.使用auxiliary/server/capture/http_javascript_keylogger模块

4.查看模块配置情况

5.我们这里以rapid7提供的Demo为例(页面比较简单)进行配置:

Set demo true
Set uripath keylogger

6.执行攻击模块

7.现在攻击者可以通过许多社工手段,引诱受害者浏览我们构造的钓鱼网站URL。

8.当受害者访问我们的网站并进行键盘输入时,一切都被记录在攻击者的msfconsole中。

总结:

本文仅仅只是一个基础的演示实例。
而在实际渗透测试中,我们还可以结合DNS欺骗等技术,制做更加逼真的钓鱼场景。

文/Rupesh S. Hankare

发表评论

已有 8 条评论

取消
Loading...
css.php