ผู้สอน: เอาล่ะ ตอนนี้เรามาดูปลั๊กอินวิศวกรรมโซเชียลที่จะให้เราขโมยชื่อผู้ใช้และรหัสผ่านของบัญชีกัน
โดยพื้นฐานแล้ว วิธีการทำงานคือ หน้าจอจะหรี่ลงและจะบอกบุคคลนั้นว่าคุณออกจากระบบเซสชั่นของคุณแล้ว
ดังนั้นโปรดลงชื่อเข้าใช้บัญชีของคุณอีกครั้งเพื่อให้คุณได้รับการตรวจสอบสิทธิ์
ซึ่งจะทำให้เราสามารถเลี่ยงผ่าน HTTPS, HSTS, การรักษาความปลอดภัยทั้งหมดที่ใช้โดยหน้าบัญชีเป้าหมาย
ตัวอย่างเช่น หากคุณกำลังพยายามรับชื่อผู้ใช้และรหัสผ่านสำหรับ
Facebook คุณจะสามารถเลี่ยงการรักษาความปลอดภัยทั้งหมดที่ Facebook
ใช้ เพราะสิ่งที่คุณทำคือ
จริงๆ แล้วคุณแค่แสดงเพจ Facebook ปลอม
ดังนั้นผู้ใช้จะไม่ติดต่อกับ Facebook
เลย
เลยลองคลิกดู
และคุณจะเห็นว่าคุณสามารถคลิกแบบฟอร์มที่นี่
คุณสามารถคลิกบัญชีที่คุณต้องการจี้
สมมติว่าเรากำลังใช้ Facebook และคุณสามารถเลือกได้ว่าจะให้แบ็คไลท์เป็นแบบใด
เราก็แค่ปล่อยให้มันเป็นสีเทา
และเราจะดำเนินการนี้
และเมื่อเราไปถึงเป้าหมาย คุณจะเห็นว่าพวกเขาได้รับการแจ้งว่าพวกเขาออกจากระบบเซสชัน
ดังนั้นโปรดเข้าสู่ระบบด้วยชื่อผู้ใช้และรหัสผ่านของคุณ
ดังนั้นฉันจะใส่ชื่อผู้ใช้ของฉันเป็น zaid
จากนั้นฉันจะใส่รหัสผ่านของฉันเป็น 123456
และป้อน
และถ้าเรากลับมาที่นี่
คุณจะเห็นว่าเราได้ชื่อผู้ใช้ของเรา
คือ zaid และรหัสผ่านคือ 123456
คุณจึงสามารถใช้ข้อมูลนี้เพื่อจี้บัญชีหลายบัญชีได้
ตัวอย่างเช่น. ลองมาอีกตัวอย่างหนึ่ง
ถ้าเราไปกับยูทูบ...
อีกครั้งที่คุณดำเนินการ กลับมา คุณเห็นโลโก้
YouTube และคุณสามารถลองเข้าสู่ระบบได้
ใส่ชื่อผู้ใช้ รหัสผ่าน ลงชื่อเข้าใช้ แล้วระบบจะบันทึก
อีกครั้ง นี่เป็นวิธีที่ดีในการเข้าถึงบัญชี
เพราะแม้ว่าผู้ใช้จะไม่ได้วางแผนที่จะลงชื่อเข้าใช้บัญชีที่คุณพยายามจะขโมย
คุณก็จะบังคับให้ผู้ใช้ป้อนชื่อผู้ใช้และรหัสผ่านเพื่อกลับเข้าสู่บัญชีของพวกเขาอีกครั้ง
จากนั้นคุณจะสามารถบันทึกชื่อผู้ใช้และรหัสผ่านได้