Instructor: Bien, ahora
echemos un vistazo a un complemento de
ingeniería social que nos permitirá robar nombres de usuario
y contraseñas para las cuentas.
Entonces, básicamente, la forma en que funciona es que atenuará la
pantalla y le dirá
a la persona que cerró la
sesión, así que inicie sesión nuevamente en su
cuenta para que pueda autenticarse.
Esto nos permitirá evitar HTTPS, HSTS, toda la
seguridad que utiliza la página de la cuenta de destino.
Por ejemplo, si está intentando obtener un nombre
de usuario y una contraseña para Facebook, podrá omitir toda la seguridad
que usa Facebook. Porque lo que estás haciendo
es, en realidad, solo estás mostrando una página falsa de Facebook.
Por lo tanto, el usuario nunca se pondrá en contacto
con Facebook.
Así que hagamos clic en esto.
Y verá que puede hacer clic en
el formulario aquí, puede hacer clic en la cuenta que desea secuestrar.
Digamos que vamos con Facebook y
puede seleccionar cuál será la luz de fondo.
Así que dejamos eso como gris
y vamos a ejecutar esto.
Y cuando lleguemos a nuestro objetivo, verá
que se les dice que
se desconectan de su sesión, así que
inicie sesión con su nombre de usuario y contraseña.
Así que voy a poner mi nombre de usuario como zaid.
Entonces voy a poner mi contraseña como 123456.
Y entra.
Y si volvemos
aquí, verá que tenemos nuestro
nombre de usuario, zaid y la contraseña 123456.
Así que puedes usar esto para secuestrar varias cuentas.
Por ejemplo. Solo tengamos otro ejemplo.
Si vamos con YouTube ...
Una vez más le das una ejecución, regresas,
ves el logotipo de YouTube y puedes intentar iniciar sesión.
Pon un nombre de usuario, contraseña, inicia sesión y eso será capturado.
De nuevo, esta es una muy buena forma de obtener acceso a
las cuentas.
Porque incluso si el usuario no planea iniciar sesión en
la cuenta que está intentando
robar, entonces lo obligará a ingresar su nombre
de usuario y contraseña para volver a iniciar sesión en su cuenta.
Y luego podrás capturar el nombre de usuario
y la contraseña.