用户
搜索

[社会工程学] 钓鱼攻击框架 heatlevel

  • TA的每日心情

    2018-5-11 13:42
  • 签到天数: 289 天

    连续签到: 1 天

    [LV.8]以坛为家I

    i春秋作家

    ← 假 真➡i春秋打杂员

    Rank: 7Rank: 7Rank: 7

    57

    主题

    911

    帖子

    109

    魔法币
    收听
    3
    粉丝
    33
    注册时间
    2015-11-20

    核心白帽i春秋签约作者积极活跃奖

    z7788520 i春秋作家 ← 假 真➡i春秋打杂员 核心白帽 i春秋签约作者 积极活跃奖 楼主
    发表于 2018-2-9 20:16:37 556724
    本帖最后由 z7788520 于 2018-3-8 10:42 编辑

    钓鱼攻击框架

    修补人性漏洞

    钓鱼阶段:

    信息收集-信息分析-钓鱼网络-下饵-上钩

    什么是网络钓鱼:

    网络钓鱼攻击将收信人引诱到一个通过精心设计与目标组织的网站非常相似的钓鱼网站上,并获取收信人在此网站上输入的个人敏感信息,通常这个攻击过程不会让受害者警觉。它是“社会工程攻击”的一种形式。网络钓鱼是一种在线身份盗窃方式。

    钓鱼攻击向量:

    钓鱼攻击向量,采用钓鱼的方式向某个特定的目标系统发起攻击,并最终成功获取到被攻击目标中的信息。
    比如:Adobe reader的漏洞,Word的漏洞,flash漏洞,IE漏洞
    在set钓鱼工具包中集成了非常多的漏洞,
    借助邮件或者信息传播途径,将含有恶意程序的文档发送给目标服务器中,使之有意或无意的点击恶意程序从而控制目标主机。

    网络钓鱼技术:

    1、链接操控
    2、子域名利用
    如:www.ichunqiu.chunqlu.com
    实际它的主域名是www.chunqlu.com
    www.baidu.baldu.com
    它的主域名是www.baldu.com
    然而手机因为长度限制或者title的原因只会显示前面的baidu,后果就是中了圈套
    3、隐藏URL
    将实际的URL隐藏在纯文本下,看到的不是网址链接,而是文字“点击改密”、“点击这里”“找回密码”,文本下隐藏的确实钓鱼网站
    4、URL劫持
    就是通过拼写“错误”的域名,来通过人们的惯性不会去真的确认网站的真实性,也叫误植域名。
    www.baldu.com www.g00gle.com www.allbaba.com www.ta0bao.com
    5、同形异义字
    同形异义字钓鱼攻击号称“几乎无法检测”,是最狡猾的钓鱼攻击!这种攻击产生的原因是国际化域名IDNs(Internationalized Domain Names)支持多语种域名,而其中一些非拉丁字符语种的字母与拉丁字符非常相似,字面看很难区分。
    浏览器会通过Punycode来编码非拉丁字符的域名,编码后就可以避免产生混淆,但发现如果域名的一个字段里所有字符都是同一种语言,就不会进行编码
    问题出在浏览器上
    6、隐蔽重定向漏洞
    主要出现在OAuth和Openid开源工具上
    攻击者创建一个使用真实站点地址的弹出式登录窗口——而不是使用一个假的域名——以引诱上网者输入他们的个人信息。黑客可利用该漏洞给钓鱼网站“变装”,用知名大型网站链接引诱用户登录钓鱼网站,用户访问钓鱼网站并成功登陆授权,黑客即可读取其在网站上存储的私密信息。
    其中可以使用xss漏洞进行搭配攻击
    7、Waf绕过
    使用图像代替文字,使邮件检测系统无法检测出其中的敏感信息
    8、网站克隆
    单页网站克隆(qq空间钓鱼、找回密码页面、王者荣耀重置单页)
    9、电话钓鱼
    10、短信钓鱼
    (伪基站)银行兑换积分
    11、Wifi钓鱼
    公共场合开放的wifi热点
    12、APT
    13、桌面钓鱼

    钓鱼手段:

    1、鱼叉式网络钓鱼

    鱼叉式钓鱼攻击一般通过电子邮件等电子通信方式进行,针对特定个人、组织或企业。攻击者会花时间了解攻击目标的姓名、邮箱地址、社交媒体张海等网络信息,进而假冒公司、组织甚至政府机构等权威机构的名义,发送虚假内容、恶意文件或恶意链接,诱使受害者点击或者登陆账号密码等。鱼叉式网络钓鱼攻击的目标是特定公司、组织之成员,因此被窃取的也并非一般的个人资料,而是其他高度敏感性资料,如知识产权及商业机密,鱼叉式钓鱼具有定制化、精准化的特性。
    2、水坑式网络钓鱼
    黑客通过分析被攻击者的网络活动规律,寻找被攻击者经常访问的网站的弱点,先攻下该网站并植入攻击代码,等待被攻击者来访时实施攻击。
    水坑攻击属于APT攻击的一种,与钓鱼攻击相比,黑客无需耗费精力制作钓鱼网站,而是利用合法网站的弱点,隐蔽性比较强。在人们安全意识不断加强的今天,黑客处心积虑地制作钓鱼网站却被有心人轻易识破,而水坑攻击则利用了被攻击者对网站的信任。
    3、钓鲸
    “鲸钓”是鱼叉式钓鱼攻击的一种更为具体的形式,指对公司高层和惹眼目标发动的任何钓鱼攻击。换句话说,“鲸钓”是针对C级别高管的鱼叉式攻击,包括首席执行官、首席运营官和首席财务官或组织内的任何其他高级管理人员,如副总裁级总监或公司总裁。通过此类攻击,钓鱼者试图“捕获”目标组织的重量级人物。
    4、APT
    高级持续性威胁。 利用先进的攻击手段对特定目标进行长期持续性网络攻击的攻击形式,APT攻击的原理相对于其他攻击形式更为高级和先进,其高级性主要体现在APT在发动攻击之前需要对攻击对象的业务流程和目标系统进行精确的收集。在此收集的过程中,此攻击会主动挖掘被攻击对象受信系统和应用程序的漏洞,利用这些漏洞组建攻击者所需的网络,并利用0day漏洞进行攻击。

    APT攻击六个阶段:(类似开头的钓鱼阶段)

    1、攻击者收集目标的信息,一般通过社会工程学方法进行收集(包含目标的心理、评价)

    2、攻击者构造并发送钓鱼邮件或钓鱼消息,根据收集到的信息对目标制定有针对性的,详细的,难以识别的钓鱼消息

    3、目标点击钓鱼邮件,点击或下载受感染的网站和文件(如失败,重复1,换其他途径下手)

    4、控制接管目标系统

    5、入侵系统,横向、纵向深入目标内网,控制整个内网网络

    6、攻击者潜伏目标网络中,讹取目标数据,盗取敏感信息。提取、分析、整理信息上传c&c服务器,继续潜伏

    5、中级钓鱼攻击

    心理差别,技巧差别

    6、高级钓鱼攻击

    心理差别,技巧差别

    钓鱼心理学原则:

    决策:决策是一种特权,同时是一个复杂的认知过程。

    1、认知的偏差

    认知偏差是一种思维定式,通常源于过去的经验,很多时候会导致错误的决定,因为认知偏差会妨碍你获得所有可用的信息。认知偏差是错误偏差,这就是说你倾向于寻找支持你的观点信息,或者按照支持你的观点的方式来解读信息,举个例子
    支付宝在2016年的集福活动中,每人平分了200多元,去年集福你认为会平分多少?200多?最少也得100多吧,然而只有2块多,今年集福你觉得会平分几块钱,他又会分几块?总结这个含义就是“你以为的是你以为的”

    2、生理状态

    熬夜会导致做出更冒险的决策,也就是说,不要在晚上做决定。大脑中负责乐观的部分会更活跃,同时负责计算可能的负面结果的部分的活动就会减少,说以,你们这些黑阔就爱晚上熬夜挖洞,越到晚上眼冒金光,其实这是骗人的,只不过晚上相对安静一点没人打扰你罢了,骚年,少熬夜!!!生理状态还有吃喝拉撒,越是感觉到饿,冒险的决策就会增加,这就是为什么老祖宗为了活着有吃的去闯关东了,生存机制是天生的,人类的几大欲望不过如此--求生欲。(自由拓展)
    举个例子:赌场、KTV有表吗?有窗户吗?你不看表,知道几点吗?

    3、外部因素

    体温和人际关系融洽、信任以及慷慨的行为都有关,短时间的温暖或寒冷的刺激,会导致人们在信任中做出不同的选择。比如,在冬天里,你是给乞丐钱呢还是在春天里会给乞丐钱呢?你可能会在春天伸出手给他几块,冬天蓝的伸出手了,但是,乞丐不在冬天出来的。(所说的是职业乞丐,人还是要有善心的,积德长寿)同时传染的,别人给了,你会不给吗?
    人类有一种服从别人的倾向,也就是从众心理

    4、决策的底线

    我们在决策时并非总是充满理智并富有逻辑的,有很多因素影响我们的决策
    钓鱼攻击者比我们更了解自己是如何决策的,并试图操纵、引导我们做出错误的决策

    杏仁核的劫持与控制:

    杏仁核劫持更通俗的叫:情绪劫持(emotional hijacking)


    这是一个位于大脑底部的杏仁状的结构,能使其它动物产生恐惧感以及学习躲避伤害性刺

    激带来的疼痛。当杏仁核变得过度兴奋,发送出很多充满过激情绪的信息,而脑额叶(用来做出关键决策的器官)反映迟缓,不能及时切断来自杏仁体的警报信号,人的情绪就会失控。

    杏仁核的控制:

    https://www.douban.com/group/topic/1572455/
    https://www.jianshu.com/p/6af9af30168e

    你们看这篇文章就是因为好奇心劫持了你们的杏仁核

    如何让鱼咬钩?

    影响与操纵:

    1、互惠

    2、义务

    3、妥协

    4、稀缺

    5、权威

    6、一致性与承诺

    7、喜爱

    8、社会认同

    9、心理反应

    10、生理反应

    操纵与影响需要注意滴问题:

    1、增加易感性
    攻击者会利用一切常规和非常规的手段来增加人们对于建议错误决策的易感性,
    2、环境控制
    攻击者进入被攻击者生活圈子或者网络圈子,都会尽快的融入到这个圈子企图控制被攻击者(参考电影:盗梦空间)
    3、权利剥夺
    权利的剥夺会让被攻击者感觉束手无策,只有求助于你,像是抓住最后的救命稻草
    4、强制重新评价
    攻击者会让被攻击者对自己所知道的所学到的产生怀疑。
    5、惩罚
    利用负面结果
    6、恐吓
    利用惩罚的结果来威胁。

    钓鱼公攻击中常见套路:(可模仿借用)

    1、安全警告
    2、重置密码连接
    3、验证码验证
    4、异地登录警告
    5、ID异常请求
    6、商务往来邮件
    7、内部运维通知邮件
    8、企业服务通知邮件


    钓鱼工具打包

    社会工程学交流群:727440042
    混子误入

    评分

    参与人数 1魔法币 +50 收起 理由
    风在指尖 + 50

    查看全部评分

    不惹事,不生事,妖魔鬼怪快走开
                                           
    使用道具 举报 回复
    大佬6的一匹,
    最骚的还是最后那个“不打包”
    关于“增加易感性”那部分,可以单纯的理解为从概率层面增加目标选择错误决策的概率吗

    评分

    参与人数 1魔法币 +1 收起 理由
    z7788520 + 1 谢谢表哥认真读我的文章,打算后面再细分一.

    查看全部评分

    使用道具 举报 回复
    icq_57a886184 发表于 2018-2-11 18:35
    好评!看到最后来个工具打包,爱死你了!

    我了个擦,当我没说
    使用道具 举报 回复

    6666666666666666666666666666666666666666666
    使用道具 举报 回复
    6666666666666666666666666666666666666666666
    使用道具 举报 回复
    好评!看到最后来个工具打包,爱死你了!
    使用道具 举报 回复
    好评!看到最后来个工具打包,爱死你了!
    使用道具 举报 回复
    我觉得666666666666666666666666
    使用道具 举报 回复
    哈哈
    膜拜ctf大佬们!!
    使用道具 举报 回复
    感谢楼主分享
    使用道具 举报 回复
    Vulkey_Chen 版主 知识面,决定看到的攻击面 秦 i春秋签约作者
    地板
    发表于 2018-2-9 21:58:15
    大佬 牛逼 前排膜拜
    gh0stkey,米斯特安全团队核心。
    i春秋社区核心成员之一。
    关注米斯特安全团队(MstLab):www.hi-ourlife.com
    使用道具 举报 回复
    居然还用上人脑结构t图了
    使用道具 举报 回复
    钓鱼大佬,向大佬低头
    使用道具 举报 回复
    发表于 2018-2-10 09:07:07
    谢谢分享
    使用道具 举报 回复
    发表于 2018-2-10 09:07:21
    涨知识了
    使用道具 举报 回复
    发表于 2018-2-10 09:52:32
    大脑解剖图223333
    使用道具 举报 回复
    钓鱼工具?那不就是鱼竿?嘻嘻嘻
    使用道具 举报 回复
    发表于 2018-2-10 13:33:09
    厉害了兄dei!!!!
    使用道具 举报 回复
    发表于 2018-2-10 18:51:18
    哇呜,好东西欸,感谢分享
    侠之大者,为国为民
    使用道具 举报 回复
    发表于 2018-2-11 01:00:31
    厉害厉害!!!
    使用道具 举报 回复
    发表于 2018-2-11 10:30:49
    感谢分享!!
    使用道具 举报 回复
    感谢楼主的热心分享
    使用道具 举报 回复
    1234下一页
    发新帖
    您需要登录后才可以回帖 登录 | 立即注册