Instructeur: Oké, laten
we nu eens kijken naar een social engineering
plugin waarmee we gebruikersnamen en wachtwoorden van
accounts kunnen stelen.
Dus eigenlijk werkt het zo, dat het scherm wordt gedimd en de
persoon wordt verteld dat
je bent uitgelogd uit je sessie, dus
log alsjeblieft opnieuw in op je account zodat
je je kunt authenticeren.
Dus hiermee kunnen we HTTPS, HSTS, alle beveiliging
omzeilen die gebruikt wordt door de doelaccountpagina.
Als u bijvoorbeeld probeert de gebruikersnaam en het
wachtwoord voor Facebook te achterhalen, kunt u alle beveiliging die Facebook
gebruikt, omzeilen. Want wat je doet is, je laat
eigenlijk gewoon een nep Facebook pagina zien.
De gebruiker zal dus nooit echt in contact komen
met Facebook.
Dus laten we hier maar op klikken.
En je zult zien dat je hier kunt klikken op
formulier, je kunt klikken op welke account je wilt kapen.
Dus laten we zeggen dat we voor Facebook gaan en u kunt
selecteren wat de achtergrondverlichting zal zijn.
Dus we laten dat als grijs en
we gaan dit uitvoeren.
En als we naar ons doel gaan zie je dat
ze te horen krijgen dat ze uitgelogd
zijn uit hun sessie, dus log in met
je gebruikersnaam en wachtwoord.
Dus ik zet mijn gebruikersnaam als zaid.
Dan zet ik mijn wachtwoord op 123456.
En ga naar binnen.
En als we hier teruggaan,
zie je dat we onze gebruikersnaam
zaid hebben en het wachtwoord 123456.
Dus je kunt dit gebruiken om een aantal accounts te kapen.
Bijvoorbeeld. Nog een voorbeeld.
Als we voor YouTube gaan...
Opnieuw geef je het een uitvoering, kom je terug, zie
je het YouTube logo en kun je proberen in te loggen.
Een gebruikersnaam, wachtwoord, aanmelden en dat wordt vastgelegd.
Dus nogmaals, dit is een heel goede manier om toegang te krijgen
tot accounts.
Want zelfs als de gebruiker niet van plan is in te loggen op de
rekening die je probeert te stelen,
dwing je hem als het ware zijn gebruikersnaam
en wachtwoord in te voeren om weer in te loggen op zijn rekening.
En dan kun je de gebruikersnaam en het wachtwoord
vastleggen.