|
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
|
hang |
e |
|
|
|
|
|
||
|
|
|
|
C |
|
E |
|
|
|
|
|
|
|
C |
|
E |
|
|
|
||||||
|
|
|
X |
|
|
|
|
|
|
|
|
|
X |
|
|
|
|
|
|
||||||
|
|
- |
|
|
|
|
|
d |
|
|
|
- |
|
|
|
|
|
d |
|
||||||
|
F |
|
|
|
|
|
|
|
t |
|
|
|
F |
|
|
|
|
|
|
|
t |
|
|||
|
D |
|
|
|
|
|
|
|
|
|
i |
|
|
|
D |
|
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
|
r |
|
|
|
|
|
|
|
|
|
r |
|||||
P |
|
|
|
|
|
|
NOW! |
o |
|
P |
|
|
|
|
|
NOW! |
o |
||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||
|
|
|
|
|
|
BUY |
|
|
|
|
|
|
|
|
BUY |
|
|
||||||||
|
|
|
|
|
to |
|
|
|
|
|
|
|
|
|
|
|
to |
|
|
|
|
|
|
||
|
|
Click |
|
|
|
|
|
|
m |
на его отсутствие. Так у тебя ничего не получится еще в самом началеClick! |
|
|
|
|
|
|
m |
||||||||
w |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||||
|
|
|
|
|
|
|
|
|
o |
|
|
w |
|
|
|
|
|
|
|
|
o |
|
|||
|
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
|
|||
w |
|
|
|
|
|
|
|
|
.c |
|
|
w |
|
|
|
|
|
|
|
.c |
|
||||
|
|
. |
|
|
|
|
|
|
|
Хостинг должен быть с поддержкой РНР - это обязательное условие. |
|
. |
|
|
|
|
|
|
|
||||||
|
|
|
p |
|
|
|
|
g |
|
|
|
|
|
p |
|
|
|
|
g |
|
|
|
|||
|
|
|
|
df |
|
|
n |
e |
|
|
|
|
|
df |
|
|
n |
e |
|
||||||
|
|
|
|
|
-xcha |
|
|
|
|
|
|
|
|
|
|
-x cha |
|
|
|
|
|
||||
3.Используя команду Сохранить как в браузере сохрани страничку входа в социальную сеть вместе с картинками.
4.Отредактируй НТМL-код так, чтобы введенные имя пользователя и па роль отправлялись тебе на электронную почту, сценарий будет приведен.
5.При желании можно сделать редирект на социальную сеть, чтобы жертва ничего не заподозрила. Так как жертва, скорее всего, уже залогинена в социальной сети, достаточно будет сделать редирект на главную страни цу - жертва ничего не поймет и ей не придется вводить пароль дважды.
6.Осталось только заманить жертву на фейковую страничку. Можно отпра вить ей сообщение о необходимости актуализации персональных дан ных, просмотре какого-то интересного контента и т.д. В общем, прояви фантазию. Вся проделанная до этого техническая работа зависит от того, насколько ты постараешься на последнем этапе. Facebook, например, ре гулярно спамит на почтовый ящик - мол посмотрите, кто смотрел твою страницу, кто оставил мнение о твоей странице, отправляет различные напоминалки о днях рождения и т.д. Если ты пользуешься этой сетью, то наверняка видел подобные сообщения. Отправь пользователю такое же сообщение, с таким же дизайном. В таких сообщениях, как правило, есть кнопка со ссылкой, например, ссьmка ведет на мессенджер, чтобы поздравить пользователя с Днем рождения. Ты меняешь ссылку, которая введет на твой фейковый домен fЪ-login.com. Жертва переходит по ней и видит окно входа в социальную сеть. Если жертва переходит с мобильно го телефона, она вовсе может ничего не заподозрить.
Теперь поговорим о техничес1,юйчасти на примере ВКонтакте (все-таки это одна из самых популярных, если не самая популярная сеть на на ших просторах). На рис. 10.1 показана страница входа в социальную сеть. Щелкни правой кнопкой мыши и выбери команду Сохранить как. Сохрани страницу как index.html, при сохранении выбери Страница (полностью).
Сохранять страничку нужно в отдельный каталог, специально созданный для этих целей (у нас это /hоmе/<имя пользователя>/vk).
Опубликуй содержимое каталога ~/vk на своем хостинге. Нужно скопиро |
||
....- - - - - - - - - - - -- - - - - - - - - - - - - - - - - - - |
' - - - - - - - - - - - - - - - - - - - - - - - --- - -- - - - - - - - --- - - - - - -- - - |
. |
вать содержимое, а не весь каталог - файл index.html и папку index_files. |
||
Попытайся открыть свой сайт. Ты увидишь nримерно следующее (рис. 10.2)•.
|
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
|
hang |
e |
|
|
|
|
|
||
|
|
|
|
C |
|
E |
|
|
|
|
|
|
|
C |
|
E |
|
|
|
||||||
|
|
|
X |
|
|
|
|
|
|
|
|
|
X |
|
|
|
|
|
|
||||||
|
|
- |
|
|
|
|
|
d |
|
|
|
- |
|
|
|
|
|
d |
|
||||||
|
F |
|
|
|
|
|
|
|
t |
|
|
|
F |
|
|
|
|
|
|
|
t |
|
|||
|
D |
|
|
|
|
|
|
|
|
|
i |
|
|
|
D |
|
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
|
r |
|
|
|
|
|
|
|
|
|
r |
|||||
P |
|
|
|
|
|
|
NOW! |
o |
|
P |
|
|
|
|
|
NOW! |
o |
||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||
|
|
|
|
|
|
BUY |
|
|
|
|
|
|
|
|
BUY |
|
|
||||||||
|
|
|
|
|
to |
|
• |
|
|
|
|
|
|
|
to |
|
|
|
|
|
|
||||
w |
Click |
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
|
|||||||||
|
|
|
|
m |
|
|
|
|
|
|
|
|
|
|
m |
||||||||||
w |
|
|
|
|
|
|
|
Многое зависит от доменного имени, которое ты купишь. Насколько оноClick |
|
|
|
|
|
|
|
||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
|
|
|||
|
w |
|
|
|
|
|
|
|
|
o |
|
|
|
w |
|
|
|
|
|
|
|
|
o |
|
|
|
|
. |
|
|
|
|
|
|
.c |
|
|
|
. |
|
|
|
|
|
|
.c |
|
||||
|
|
|
p |
|
|
|
|
g |
|
|
|
будет похоже на имя той сети, страничку в которой ты хочешь взломать. |
|
|
|
g |
|
|
|
||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
p |
|
|
|
|
|
|
|
|||||
|
|
|
|
df |
|
|
n |
e |
|
|
|
|
|
df |
|
|
n |
e |
|
||||||
|
|
|
|
|
-xcha |
|
|
|
|
|
|
|
|
|
|
-x cha |
|
|
|
|
|
||||
Конечно, глупых пользователей много и некоторые могут попросту не обратить внимание на адрес, но тебе же не хочется, чтобы пользователь замегил фейк?
• Огромное внимание нужно уделить письму, которое предназначено, что бы заманить пользователя на фейковую страничку. Подделать его нужно полностью, до мельчайших подробностей, включая заголовки письма. Например, для Facebook заголовки выглядят так:
$headers = 'From: Facebook <notification@facebookmail.com>' ."\r\n". 'Reply-to: noreply <noreply@facebookmail.com>' . "\r\n";
mail($to, $subject, $message, $headers);
Сначала формируются строки с заголовками, а затем вызывается функция mail(), отправляющая письмо с нужными нам заголовками.
Примечание. Почему очень важно подцелать заголовки? Да потому что некоторые пользователи сортируют сообщения от социальных сетей. Они попадают в определенную папку в ин терфейсе почтовой программы. Если письмо попадет в другую папку, то ты прокололся уже в самом начале, так ничего и не начав. С вероятностью 90% можно сказать, что пользователь не перейдет по ссылке в твоем письме
Код письма, которое отправляет социальная сеть, можно получить при просмотре орШ'ИНала сообщения в почтовой программы. Зарегистрируйся в той социальной сети, страничку в которой ты хочешь взломать. Открой письмо от социальной сети. Возможно, нужно будет подождать, пока сеть пришлет тебе то письмо, которое подходит для твоей цели. Например, когда кто-то добавится в друзья или когда у твоего друга будет день рождения. Открой оригинал письма. Например, в интерфейсе GMail нужно щелкнуть
по троеточии в верхнем правом углу и выбрать команду Показать ориги |
|
нал |
|
• |
111 |
.----.------------------------- -- ---- ---- ----------------------------------------- |
|
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
hang |
e |
|
|
|
|
|
||
|
|
|
C |
|
E |
|
|
|
|
|
|
C |
|
E |
|
|
|
||||||
|
|
X |
|
|
|
|
|
|
|
|
X |
|
|
|
|
|
|
||||||
|
- |
|
|
|
|
|
d |
|
|
|
- |
|
|
|
|
|
d |
|
|||||
|
F |
|
|
|
|
|
|
|
t |
|
|
|
F |
|
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
|
i |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
r |
|
|
|
|
|
|
|
|
|
r |
||||
P |
|
|
|
|
|
NOW! |
o |
|
P |
|
|
|
|
NOW! |
o |
||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||
|
|
|
|
|
BUY |
|
|
|
|
|
|
|
BUY |
|
|
||||||||
|
|
|
|
to |
|
|
|
|
|
|
|
|
|
|
to |
|
|
|
|
|
|
||
w Click |
|
|
|
|
|
|
|
|
w Click |
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
|
|
m |
, |
|
|
|
|
|
|
o |
m |
|||||||
|
w |
|
|
|
|
|
Разберемсяo |
что тут и к чему. Файл с твоим письмом нужно назватьw |
|
|
|
|
|
|
|
||||||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
|
||
|
. |
|
|
|
|
g |
.c |
|
|
|
. |
|
|
|
|
g |
.c |
|
|||||
|
|
p |
|
|
|
|
|
|
|
|
|
p |
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
|
message.html и поместить в один каталог с файлом index.html. Код письма |
|
|
|
|
e |
|
||||||||||
|
|
|
df |
|
|
n |
e |
|
|
|
|
df |
|
|
n |
|
|||||||
|
|
|
|
-xcha |
|
|
|
|
|
|
|
|
|
-x cha |
|
|
|
|
|
||||
будем хранить отдельно от кода сценария. У РНР сложные правила коди рования текста внутри письма, объяснять которые новичку нет желания. К тому же у него всегда будет возможность накосячить и совершить ошибку, а так ошибка исключена.
Адрес почты hacker@example.org замени на свой личный. Ты будешь запу скать этот сценарий столько раз, сколько nонадобится - пока ты не убедишь ся, что результат действительно похож на оригинал.
Тему письма замени на ту, что подходит под твое сообщение. Если это уве домление о Дне рождения друга, то будет одна тема, если о чем-то другом, то другая тема.
Заголовки письма тоже замени. Сейчас они приведены для Facebook. ZuckМail [version 1.00] - это название мейлера Facebook. Если ты хакаешь другую соцсетъ, посмотри, какой мейлер использует она. Дьявол кроется в деталях - помни об этом. Некоторые почтовые интерфейсы могут из-за та ких мелочей поместить твои письма в спам. Чем подробнее ты укажешь за головки, тем лучше. Разумеется, эти заголовки должны быть максимально похожими на оригинал.
Вот пример заголовков Facebook (это не все заголовки, а те, которые ты мо жешь проставить, потому что некоторые заголовки могут изменяться только почтовой системой, и пользователь никак на них не может повлиять):
То: Адрес получателя
Subject: Тема X-Priority: 3
X-Mailer: ZuckMail [version 1.00]
From: Facebook <notification@facebookmail. сот> Reply-to: noreply <noreply@facebookmail.com> Errors-To: notification@facebookmail.com X-Facebook-Notify: birthday_reminder; mailid=7b5af9acc94dбGSaf38faalb5aGSb5afe4629ba8Gla
List-Unsubscribe: <https://www.facebook.com/o.php?k=AS0s8tXaUtE6Kl UGr4c&u=l00002139085658&mid=Sd5af7acc98d6GSaf38ffalb5aG5b5efe3629ba 8Gla&ee=AYЗMKGdB2m3JaaJQfq45UgeK7UfE7Vag5d07dkOiQn_n_ULrQljmN0UlL_ nG9uSlkRXSo3_eqpbTeQ>
Feedback-ID: O:birthday_reminder:Facebook X-FACEBOOK-PRIORITY: О X-Auto-Response-Suppress: All
•MIME-Version: 1.0
. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . · fll
