Атаки социальной инженерии (с точки зрения взлома) очень похожи на волшебное шоу. Разница в том, что в атаках социальной инженерии это волшебный трюк, где результатом является банковский счет, социальные сети, электронная почта и даже доступ к целевому компьютеру. Кто создал систему? ЧЕЛОВЕК. Провести атаку социальной инженерии легко, поверьте мне, это действительно просто. Никакая система не является безопасной. Люди - лучший ресурс и конечная точка уязвимостей системы безопасности.
В прошлой статье я провел демонстрацию таргетинга на учетные записи Google, Kali Linux: инструментарий социальной инженерии , это еще один урок для вас.
Нужна ли нам определенная ОС для тестирования на проникновение для проведения атак социальной инженерии? На самом деле нет, атака социальной инженерии гибкая, инструменты, такие как Kali Linux, - это просто инструменты. Суть атаки социальной инженерии заключается в разработке потока атаки.
В последней статье об атаке социальной инженерии мы узнали об атаке социальной инженерии с использованием ДОВЕРИЯ. А в этой статье мы узнаем про ВНИМАНИЕ. Я получил этот урок от Короля воров Аполлон Роббинс . По образованию опытный фокусник, уличный фокусник. Вы могли посмотреть его шоу на YouTube. Однажды в выступлении на TED Talk он объяснил, как воровать. Его способность заключается в основном в том, чтобы играть с вниманием жертвы, чтобы незаметно обокрасть их вещи, такие как часы, бумажник, деньги, карты, все, что есть в кармане жертвы. Я покажу вам, как провести атаку социальной инженерии, чтобы взломать чью-то учетную запись Facebook, используя ДОВЕРИЕ и ВНИМАНИЕ. Главное - ВНИМАНИЕ - говорить быстро и задавать вопросы. Вы пилот беседы.
Сценарий атаки социальной инженерии
В этом сценарии участвуют 2 актера: Джон в роли нападающего и Бима в роли жертвы. Джон поставит Биму в качестве цели. Цель атаки социальной инженерии здесь - получить доступ к учетной записи жертвы в Facebook. Поток атаки будет использовать другой подход и метод. Джон и Бима - друзья, они часто встречаются в столовой в обеденное время, когда отдыхают в своем офисе. Джон и Бима работают в разных отделах, встречаются только тогда, когда обедают в столовой. Они часто встречаются и разговаривают друг с другом, пока они не стали друзьями.
Однажды Джон плохой парень решил попрактиковаться в атаке социальной инженерии с помощью игры ATTENTION, о которой я упоминал ранее, его вдохновил The King of Thieves Apollo Robbins. В одной из своих презентаций Роббинс сказал, что у нас два глаза, но наш мозг может сосредоточиться только на одной вещи. Мы можем выполнять несколько задач одновременно, но мы не можем выполнять разные задачи одновременно, вместо этого мы просто быстро переключаем внимание на каждую задачу.
В начале дня, в понедельник, в офисе, Джон, как обычно, сидит в своей комнате за своим столом. Он планирует разработать стратегию взлома учетной записи Facebook своего друга. Он должен быть готов к обеду. Он думает и задается вопросом, сидя за своим столом.
Затем он берет лист бумаги и садится на стул, обращенный к своему компьютеру. Он заходит на страницу Facebook, чтобы найти способ взломать чей-то аккаунт.
ШАГ 1: НАЙДИТЕ СТАРТОВОЕ ОКНО или ОТВЕРСТИЕ
На экране входа в систему он замечает ссылку под названием «забытая учетная запись». Здесь Джон будет использовать преимущества забытый аккаунт ( восстановление пароля). Facebook уже обслужил наше стартовое окно по адресу: https://www.facebook.com/login/identify?ctx=recover.
Страница должна выглядеть так:
В поле найти ваш аккаунт В разделе есть предложение, в котором говорится: Пожалуйста, введите свой адрес электронной почты или номер телефона, чтобы найти свою учетную запись . Отсюда мы получаем еще один набор окон: адрес электронной почты относится к Адрес электронной почты а номер телефона относится к мобильному Телефон . Итак, у Джона есть гипотеза, что если бы у него была учетная запись электронной почты или мобильный телефон жертвы, то он имел бы доступ к учетной записи жертвы в Facebook.
ШАГ 2: ЗАПОЛНИТЕ ФОРМУ ДЛЯ ИДЕНТИФИКАЦИИ УЧЕТНОЙ ЗАПИСИ
Хорошо, отсюда Джон начинает глубоко задуматься. Он не знает, какой у Бимы адрес электронной почты, но сохранил номер телефона Бимы на своем мобильном телефоне. Затем он хватает свой телефон и ищет номер телефона Бимы. И вот он, он нашел это. Он начинает вводить в это поле номер телефона Бимы. После этого он нажимает кнопку поиска. Изображение должно выглядеть так:
Он понял, он обнаружил, что номер телефона Бимы привязан к его аккаунту в Facebook. Отсюда он просто держит, а не нажимает Продолжать кнопка. На данный момент он просто убедился, что этот номер телефона связан с учетной записью жертвы в Facebook, так что это приближается к его гипотезе.
На самом деле Джон занимался разведкой или сбором информации о жертве. Отсюда у Джона достаточно информации, и он готов к выполнению. Но, Джон встретит Биму в столовой, Джон не может принести свой компьютер, верно? Нет проблем, у него есть удобное решение - его собственный мобильный телефон. Итак, прежде чем он встретит Бима, он повторяет ШАГ 1 а также 2 в браузере Chrome на своем мобильном телефоне Android. Это выглядело бы так:
ШАГ 3: ВСТРЕЧАЙТЕ ЖЕРТВУ
Хорошо, теперь все настроено и готово. Все, что нужно сделать Джону, - это взять телефон Бимы и нажать на Продолжать нажмите кнопку на своем телефоне, прочтите входящее SMS-сообщение, отправленное Facebook (код сброса) на телефоне Бимы, запомните его и быстро удалите сообщение за один раз.
Этот план приходит ему в голову, пока он идет в столовую. Джон сунул телефон в карман. Он вошел в столовую в поисках Бимы. Он повернул голову слева направо, пытаясь понять, где, черт возьми, Бима. Как обычно, он сидит на угловом сиденье, машет рукой Джону, он был готов с едой.
В этот полдень Джон немедленно берет небольшую порцию еды и подходит к столу с Бимой. Он здоровается с Бимой, и они вместе едят. Во время еды Джон оглядывается и замечает, что телефон Бимы лежит на столе.
Закончив обед, они обсуждают день друг друга. Как обычно, до тех пор, пока в какой-то момент Джон не откроет новую тему о телефонах. Джон говорит ему, что Джону нужен новый телефон, и Джону нужен совет о том, какой телефон подходит Джону. Затем он спросил о телефоне Бимы, он спросил все: модель, характеристики, все. А затем Джон просит его попробовать свой телефон, Джон ведет себя так, как будто он действительно покупатель, который ищет телефон. Левая рука Джона с его разрешения хватает свой телефон, а правая находится под столом, готовясь открыть свой телефон. Джон сосредотачивает свое внимание на своей левой руке, своем телефоне, Джон так много говорил о своем телефоне, его весе, его скорости и так далее.
Теперь Джон начинает атаку с выключения громкости звонка телефона Бимы до нуля, чтобы он не узнал, приходит ли новое уведомление. Левая рука Джона по-прежнему привлекает его внимание, в то время как его правая рука фактически нажимает на кнопку Продолжать кнопка. Как только Джон нажал кнопку, приходит сообщение.
Динь .. Никаких звуков. Бима не распознал входящее сообщение, потому что монитор смотрит на Джона. Джон сразу открывает сообщение, читает и запоминает 6-значный штифт в СМС, а потом скоро удалит. Теперь он закончил с телефоном Бимы, Джон возвращает ему телефон Бимы, в то время как правая рука Джона достает свой телефон и сразу же начинает набирать 6-значный штифт он только что вспомнил.
Затем Джон нажимает Продолжать. Появляется новая страница, на ней спрашивается, хочет ли он придумать новый пароль или нет.
Джон не изменит пароль, потому что он не злой. Но теперь у него есть аккаунт Бимы в Facebook. И он выполнил свою миссию.
Как видите, сценарий кажется таким простым, но, эй, как легко вы могли бы взять и одолжить телефон своих друзей? Если вы коррелируете с гипотезой, имея телефон друзей, вы можете получить все, что захотите, плохо.