ReelPhish

تعليمات حول ReelPhish:

تم إصدار هذه الأداة مع مقالة مدونة من FireEye. يمكن العثور على المقالة على الرابط التالي: https://www.fireeye.com/blog/threat-research/2018/02/reelphish-real-time-two-factor-phishing-tool.html

خطوات التثبيت

1. الإصدار الأحدث من Python 2.7.x مطلوب.

2. قم بتثبيت Selenium، وهو تبعية مطلوبة لتشغيل برامج تشغيل المتصفح.

   • pip install -r requirements.txt

3. قم بتنزيل برامج تشغيل المتصفح لجميع متصفحات الويب التي تخطط لاستخدامها. يجب وضع الملفات الثنائية في هذا الدليل الجذر وفقًا لبنية التسمية التالية.

   • Internet Explorer: www.seleniumhq.org/download/

     • قم بتنزيل Internet Explorer Driver Server لنظام Windows 32 بت. قم بفك ضغط الملف وأعد تسمية الملف الثنائي إلى: IEDriver.exe.
     • لكي يعمل Internet Explorer Driver، تأكد من تعطيل الوضع المحمي. في IE11 (نظام Windows 64 بت)، يجب إنشاء مفتاح التسجيل "HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_BFCACHE". في هذا المفتاح، قم بإنشاء قيمة DWORD باسم iexplore.exe واضبط القيمة على 0.
     • يمكن العثور على مزيد من المعلومات حول متطلبات Internet Explorer على www.github.com/SeleniumHQ/selenium/wiki/InternetExplorerDriver

   • Firefox: www.github.com/mozilla/geckodriver/releases/

     • قم بتنزيل أحدث إصدار من Firefox GeckoDriver لنظام Windows 32 بت. قم بفك ضغط الملف وأعد تسمية الملف الثنائي إلى: FFDriver.exe.
       • على أنظمة Linux، قم بتنزيل إصدار Linux من Firefox GeckoDriver وأعد تسمية الملف الثنائي إلى: FFDriver.bin . دعم Linux تجريبي.
     • يحتوي Gecko Driver على متطلبات خاصة. انسخ FFDriver.exe إلى geckodriver.exe وضعه في متغير PATH الخاص بك. بالإضافة إلى ذلك، أضف firefox.exe إلى متغير PATH الخاص بك.

   • Chrome: https://chromedriver.storage.googleapis.com/index.html?path=2.35/

     • قم بتنزيل أحدث إصدار من Google Chrome Driver لنظام Windows 32 بت. قم بفك ضغط الملف وأعد تسمية الملف الثنائي إلى: ChromeDriver.exe.
       • على أنظمة Linux، قم بتنزيل إصدار Linux من Chrome Web Driver وأعد تسمية الملف الثنائي إلى: ChromeDriver.bin . دعم Linux تجريبي.

تشغيل ReelPhish

يتكون ReelPhish من مكونين: كود معالجة موقع التصيد وهذا البرنامج النصي. يمكن تصميم موقع التصيد حسب الرغبة. يتم توفير كود PHP نموذجي في /examplesitecode. سيأخذ الكود النموذجي اسم المستخدم وكلمة المرور من طلب HTTP POST وينقلها إلى البرنامج النصي للتصيد.

يستمع البرنامج النصي للتصيد على منفذ محلي وينتظر حزمة من بيانات الاعتماد. بمجرد استلام بيانات الاعتماد، سيفتح البرنامج النصي للتصيد مثيل متصفح ويب جديد وينتقل إلى عنوان URL المطلوب (الموقع الفعلي حيث ستقوم بإدخال بيانات اعتماد المستخدم). سيتم إرسال بيانات الاعتماد بواسطة متصفح الويب.

الطريقة الموصى بها للتعامل مع الاتصال بين موقع التصيد وهذا البرنامج النصي هي باستخدام نفق SSH عكسي. لهذا السبب يرسل كود موقع التصيد PHP النموذجي بيانات الاعتماد إلى localhost:2135.

وسائط ReelPhish

1. يجب عليك تحديد المتصفح الذي ستستخدمه باستخدام الوسيط --browser. تشمل المتصفحات المدعومة Internet Explorer ("--browser IE")، وFirefox ("--browser FF")، وChrome ("--browser Chrome"). يتم دعم كل من Windows وLinux. يتطلب Chrome أقل عدد من خطوات الإعداد. راجع تعليمات التثبيت أعلاه لمزيد من التفاصيل.
2. يجب عليك تحديد عنوان URL. سينتقل البرنامج النصي إلى عنوان URL هذا وسيقدم بيانات الاعتماد نيابة عنك.
3. تتوفر وسائط اختيارية أخرى.
   • اضبط معلمة التسجيل على debug (--logging debug) لتسجيل الأحداث التفصيلية
   • اضبط معلمة الإرسال (--submit) لتخصيص العنصر الذي يتم "النقر" عليه بواسطة المتصفح
   • اضبط معلمة التجاوز (--override) لتجاهل عناصر النموذج المفقودة
   • اضبط معلمة عدد الصفحات (--numpages) لزيادة عدد صفحات المصادقة (انظر القسم أدناه)

دعم المصادقة متعددة الصفحات

يدعم ReelPhish صفحات مصادقة متعددة. على سبيل المثال، في بعض الحالات، قد يتم طلب رمز مصادقة ثنائي العوامل في صفحة ثانية. لتنفيذ هذه الميزة، تأكد من ضبط --numpages على عدد صفحات المصادقة. تأكد أيضًا من تتبع معرف الجلسة بشكل صحيح على موقع التصيد الخاص بك. يُستخدم معرف الجلسة لتتبع المستخدمين أثناء تقدمهم خلال كل خطوة من خطوات المصادقة.

في بعض الحالات، قد تحتاج إلى استخراج محتوى محدد (مثل رمز التحدي) من صفحة مصادقة معينة. يتم توفير كود نموذجي معلق في ReelPhish.py لتنفيذ عملية الاستخراج.