Instruktor: Dobra,
spójrzmy teraz na wtyczkę socjotechniki,
która pozwoli nam ukraść nazwy użytkowników i
hasła do kont.
W zasadzie działa to tak, że przyciemni ekran
i powie osobie,
że wylogowałeś się z sesji,
więc zaloguj się ponownie na swoje
konto, aby uzyskać uwierzytelnienie.
Pozwoli nam to ominąć HTTPS, HSTS
i wszystkie zabezpieczenia używane przez stronę konta docelowego.
Na przykład, jeśli próbujesz uzyskać nazwę użytkownika
i hasło do Facebooka, będziesz w stanie ominąć wszystkie zabezpieczenia,
których używa Facebook. Ponieważ to, co
robisz, to po prostu pokazuje fałszywą stronę na Facebooku.
Tak więc użytkownik nigdy nie będzie miał kontaktu
z Facebookiem.
Kliknijmy to.
Zobaczysz, że możesz kliknąć
formularz tutaj, możesz kliknąć konto, które chcesz przejąć.
Powiedzmy, że korzystamy z Facebooka
i możesz wybrać, jakie będzie podświetlenie.
Więc pozostawiamy to jako szare
i to zrobimy.
A kiedy przejdziemy do celu, zobaczysz,
że powiedziano im, że
wylogowali się z sesji, więc zaloguj
się za pomocą swojej nazwy użytkownika i hasła.
Więc podam swoją nazwę użytkownika jako zaid.
Potem ustawię hasło jako 123456.
I wejdź.
A jeśli wrócimy
tutaj, zobaczysz, że mamy naszą
nazwę użytkownika, był zaid, a hasło to 123456.
Możesz więc użyć tego do przejęcia kilku kont.
Na przykład. Po prostu inny przykład.
Jeśli pójdziemy z YouTube ...
Ponownie uruchom polecenie wykonania, wróć, zobaczysz
logo YouTube i możesz spróbować się zalogować.
Wpisz nazwę użytkownika, hasło, zaloguj się, a zostaną przechwycone.
Jest to więc naprawdę dobry sposób na uzyskanie dostępu
do kont.
Ponieważ nawet jeśli użytkownik nie planuje zalogować się na konto,
które próbujesz ukraść, w
pewnym sensie zmusisz go do podania nazwy
użytkownika i hasła w celu ponownego zalogowania się na swoje konto.
A wtedy będziesz mógł przechwycić nazwę użytkownika
i hasło.