Kursleiter: Okay, jetzt
schauen wir uns ein Social
Engineering-Plugin an, mit dem wir Benutzernamen und Passwörter
für Konten stehlen können.
Im Grunde funktioniert dies so, dass der Bildschirm abgeblendet wird und die
Person darüber informiert wird,
dass Sie von Ihrer Sitzung abgemeldet wurden.
Melden Sie sich daher erneut in Ihrem Konto an,
damit Sie sich authentifizieren können.
Auf diese Weise können wir HTTPS, HSTS
und alle Sicherheitsmaßnahmen umgehen, die von der Zielkontoseite verwendet werden.
Wenn Sie beispielsweise versuchen, Benutzernamen und
Passwort für Facebook abzurufen, können Sie alle von Facebook
verwendeten Sicherheitsmaßnahmen umgehen. Sie zeigen
nämlich nur eine gefälschte Facebook-Seite.
Der Nutzer wird also eigentlich nie mit Facebook in
Kontakt treten.
Also lasst uns einfach darauf klicken.
Und Sie werden sehen, dass Sie hier auf
Formular klicken können. Sie können auf das Konto klicken, das Sie entführen möchten.
Nehmen wir also an, wir fahren mit
Facebook und Sie können auswählen, wie die Hintergrundbeleuchtung aussehen soll.
Also lassen wir das einfach grau
und werden das ausführen.
Und wenn wir zu unserem Ziel gehen, werden
Sie feststellen, dass ihnen mitgeteilt wird,
dass sie sich von ihrer Sitzung abgemeldet haben.
Melden Sie sich daher bitte mit Ihrem Benutzernamen und Passwort an.
Also werde ich meinen Benutzernamen als zaid setzen.
Dann werde ich mein Passwort als 123456 eingeben.
Und eintreten.
Und wenn wir
hierher zurückkehren, werden Sie sehen, dass
wir unseren Benutzernamen haben, zaid und das Passwort 123456.
Auf diese Weise können Sie eine Reihe von Konten entführen.
Beispielsweise. Lassen Sie uns nur ein anderes Beispiel haben.
Wenn wir mit YouTube gehen ...
Wenn Sie es erneut ausführen, kehren Sie
zurück, sehen das YouTube-Logo und können versuchen, sich anzumelden.
Geben Sie einen Benutzernamen und ein Passwort ein, melden Sie sich an und das wird erfasst.
Auch dies ist eine sehr gute Möglichkeit, Zugriff auf Konten
zu erhalten.
Denn selbst wenn der Benutzer nicht vorhat, sich bei dem
Konto anzumelden, das Sie stehlen
möchten, werden Sie ihn zwingen, seinen Benutzernamen
und sein Kennwort einzugeben, um sich wieder bei seinem Konto anzumelden.
Und dann können Sie den Benutzernamen und das
Passwort erfassen.