CredSniper

• نظرة عامة
  • الفوائد
• الاستخدام الأساسي
• التثبيت
• لقطات الشاشة
  • وحدة Gmail
• المسؤول
• المساهمة

نظرة عامة

قم بإطلاق موقع تصيد جديد بسهولة ومزود بالكامل بـ SSL، والتقط بيانات الاعتماد ورموز المصادقة الثنائية باستخدام CredSniper. توفر واجهة برمجة التطبيقات (API) وصولاً آمناً إلى بيانات الاعتماد الملتقطة حالياً، والتي يمكن استهلاكها بواسطة تطبيقات أخرى باستخدام رمز API يتم توليده عشوائياً.

مقدم من:

الفوائد

• SSL مدعوم بالكامل عبر Let's Encrypt
• نسخ دقيقة لنماذج تسجيل الدخول للتصيد الواقعي
• عدد غير محدود من الصفحات الوسيطة
  • (مثل: صفحة تسجيل الدخول لجيميل، كلمة المرور، ثم صفحة العامل الثنائي ثم إعادة توجيه)
• يدعم التصيد لرموز المصادقة الثنائية
• واجهة برمجة تطبيقات لدمج بيانات الاعتماد في تطبيقات أخرى
• سهولة التخصيص باستخدام إطار قوالب

الاستخدام الأساسي

الاستخدام: credsniper.py [-h] --module MODULE [--twofactor] [--port PORT] [--ssl] [--verbose] --final FINAL --hostname HOSTNAME

optional arguments:
  -h, --help           show this help message and exit
  --module MODULE      phishing module name - for example, "gmail"
  --twofactor          enable two-factor phishing
  --port PORT          listening port (default: 80/443)
  --ssl                use SSL via Let's Encrypt
  --verbose            enable verbose output
  --final FINAL        final url the user is redirected to after phishing is done
  --hostname HOSTNAME  hostname for SSL

بيانات الاعتماد

.cache : تخزين مؤقت لاسم المستخدم/كلمة المرور عند التصيد للمصادقة الثنائية

.sniped : تخزين ملفات ثابتة لبيانات الاعتماد التي تم التقاطها ومعلومات أخرى

نقطة نهاية API

• عرض بيانات الاعتماد (GET) https://<phish site>/creds/view?api_token=<api token>

• وضع علامة على بيانات الاعتماد كمشاهدة (GET) https://<phish site>/creds/seen/<cred_id>?api_token=<api token>

• تحديث التكوين (POST) https://<phish site>/config

	{
	   'enable_2fa': true,
	   'module': 'gmail',
	   'api_token': 'some-random-string'
	}

الوحدات

يمكن تحميل جميع الوحدات بتمرير الأمر --module <name> إلى CredSniper. يتم تحميلها من مجلد داخل /modules. تم بناء CredSniper باستخدام Python Flask ويتم عرض جميع قوالب HTML للوحدات باستخدام Jinja2.

• Gmail: أحدث نسخة من صفحة تسجيل الدخول لجيميل تم استنساخها وتخصيصها لتحفيز/التصيد لجميع أشكال المصادقة الثنائية
  • modules/gmail/gmail.py: الوحدة الرئيسية التي يتم تحميلها باستخدام --module gmail
  • modules/gmail/templates/error.html: صفحة الخطأ للأخطاء 404
  • modules/gmail/templates/login.html: صفحة تسجيل الدخول لجيميل
  • modules/gmail/templates/password.html: صفحة كلمة المرور لجيميل
  • modules/gmail/templates/authenticator.html: صفحة المصادقة الثنائية لجوجل Authenticator
  • modules/gmail/templates/sms.html: صفحة المصادقة الثنائية عبر الرسائل النصية
  • modules/gmail/templates/touchscreen.html: صفحة المصادقة الثنائية عبر طلب الهاتف

تحديث Gmail: تتطلب جوجل شكلاً احتياطياً للمصادقة الثنائية عند استخدام U2F. يمكن تجاوز U2F بإجبار أحد خيارات الرجوع بدلاً من مطالبة المستخدم باستخدام جهاز U2F الخاص به. يحاول CredSniper إجبار الرسائل النصية إذا كانت متاحة، وإلا فإنه يجبر TOTP. بالنسبة للضحايا الأذكياء أمنياً، قد يشعرون بالشك إذا طُلب منهم رمز الرسائل النصية أو TOTP بدلاً من جهاز U2F الخاص بهم.

• Example: وحدة مثال توضح التصيد القياسي مع رموز المصادقة الثنائية
  • modules/example/example.py: الوحدة الرئيسية التي يتم تحميلها باستخدام --module example
  • modules/example/templates/login.html: نموذج تسجيل دخول قياسي
  • modules/example/templates/twofactor.html: نموذج رمز المصادقة الثنائية القياسي

التثبيت

Ubuntu 16.04

يمكنك التثبيت والتشغيل تلقائياً باستخدام الأمر التالي:

$ git clone https://github.com/ustayready/CredSniper
$ cd CredSniper
~/CredSniper$ ./install.sh

ثم للتشغيل يدوياً استخدم الأوامر التالية:

~/$ cd CredSniper
~/CredSniper$ source bin/activate
(CredSniper) ~/CredSniper$ python credsniper.py --help

ملاحظة: يتطلب Python 3.

لقطات الشاشة

وحدة Gmail

المسؤول

• تم إنشاء CredSniper في الأصل بواسطة Mike Felch (@ustayready)

المساهمة

1. إنشاء مشكلة لمناقشة فكرتك
2. عمل Fork لـ CredSniper (https://github.com/ustayready/CredSniper/fork)
3. إنشاء فرع الميزة الخاص بك (git checkout -b my-new-feature)
4. التزم بالتغييرات (git commit -am 'Add some feature')
5. ادفع إلى الفرع (git push origin my-new-feature)
6. إنشاء طلب سحب جديد

تقارير الأخطاء، طلبات الميزات، والتصحيحات مرحب بها.