ClickFix प्रशिक्षण उपकरण

"ClickFix" प्रकार के सोशल इंजीनियरिंग हमलों के लिए एक हल्का, स्व-होस्टेड सिमुलेशन उपकरण।

अस्वीकरण

यह उपकरण केवल अधिकृत सुरक्षा जागरूकता प्रशिक्षण के लिए है। बिना स्पष्ट अनुमति के सिस्टम या उपयोगकर्ताओं को लक्षित करने के लिए इस उपकरण का अनधिकृत उपयोग अवैध और अनैतिक है। लेखक इस सॉफ्टवेयर के किसी भी दुरुपयोग के लिए जिम्मेदार नहीं हैं।

अवलोकन

ClickFix (जिसे "ClearFake" या "Fake Update" के नाम से भी जाना जाता है) एक सोशल इंजीनियरिंग तकनीक है जिसमें हमलावर उपयोगकर्ताओं को नकली त्रुटि को "ठीक" करने के लिए मैन्युअल रूप से दुर्भावनापूर्ण कमांड (आमतौर पर Windows Run डायलॉग के माध्यम से) निष्पादित करने के लिए धोखा देते हैं। चूंकि उपयोगकर्ता स्वयं निष्पादन शुरू करता है, यह तकनीक अक्सर पारंपरिक सुरक्षा नियंत्रणों को दरकिनार कर देती है।

ClickFix प्रशिक्षण उपकरण सुरक्षा टीमों को कर्मचारियों को प्रशिक्षित करने के लिए इन हमलों का सुरक्षित रूप से अनुकरण करने की अनुमति देता है।

मुख्य विशेषताएं:

• सुरक्षित सिमुलेशन: मैलवेयर के बजाय हानिरहित पेलोड (MessageBox + Redirect) का उपयोग करता है।
• यथार्थवादी लालच: Teams, SharePoint, Cloudflare और अन्य के लिए टेम्पलेट शामिल हैं।
• साइट क्लोनर: वैध साइटों को क्लोन करने और जाल डालने के लिए अंतर्निहित उपकरण।
• ट्रैकिंग: पृष्ठ दृश्य, क्लिक और पेलोड निष्पादन लॉग करता है।
• गोपनीयता-प्रथम: स्व-होस्टेड, कोई बाहरी डेटा निष्कासन नहीं।

त्वरित आरंभ

विकल्प A: Docker (अनुशंसित)

1. रिपॉजिटरी क्लोन करें:

   root@kitploit:~

   git clone https://github.com/boredchilada/clickfix-simulator-2025.git
   cd clickfix-simulator-2025
   

2. कंटेनर प्रारंभ करें:

   root@kitploit:~

   docker-compose up -d
   

3. उपकरण तक पहुंचें:

   • एडमिन डैशबोर्ड: https://localhost/admin (उपयोगकर्ता: admin, पासवर्ड: changeme_please)
   • परीक्षण लालच: https://localhost/s/teams_error?uid=test_user

विकल्प B: स्थानीय Python सेटअप

1. आवश्यक शर्तें: Python 3.8+, pip, openssl (प्रमाणपत्रों के लिए)।

2. निर्भरताएं स्थापित करें:

   root@kitploit:~

   python -m venv venv
   source venv/bin/activate  # or venv\Scripts\activate on Windows
   pip install -r requirements.txt
   

3. डेटाबेस प्रारंभ करें:

   root@kitploit:~

   flask init-db
   

4. प्रमाणपत्र जनरेट करें (Clipboard API के लिए आवश्यक):

   root@kitploit:~

   mkdir certs
   openssl req -x509 -newkey rsa:4096 -nodes -keyout certs/key.pem -out certs/cert.pem -days 365 -subj "/CN=localhost"
   

5. सर्वर चलाएं:

   root@kitploit:~

   python run.py
   

आर्किटेक्चर

यह उपकरण Flask (Python) से निर्मित है और डेटा भंडारण के लिए SQLite का उपयोग करता है।

• run.py: मुख्य एप्लिकेशन लॉजिक, रूट्स और पेलोड जनरेशन।
• cloner.py: वेबसाइटों को क्लोन करने और जाल डालने की उपयोगिता।
• templates/:
  • lures/: पूर्ण-पृष्ठ हमले के टेम्पलेट।
  • traps/: क्लोन की गई साइटों में डाले गए HTML खंड (पॉपअप/ओवरले)।
  • scenarios/: क्लोन की गई साइटों के लिए भंडारण।
• static/: CSS, JS और छवियां।

उन्नत कॉन्फ़िगरेशन

Webhook सूचनाएं

जब कोई उपयोगकर्ता फिक्स बटन पर क्लिक करता है या पेलोड निष्पादित करता है तो रीयल-टाइम अलर्ट प्राप्त करने के लिए, WEBHOOK_URL पर्यावरण चर सेट करें। समर्थित प्रारूप: Slack, Discord, Microsoft Teams (Incoming Webhook)।

environment:
  - WEBHOOK_URL=https://hooks.slack.com/services/T000/B000/XXXX

डायनामिक जाल चयन

आप URL में ?t=<trap_name> जोड़कर किसी भी अभियान के लिए डिफ़ॉल्ट जाल को ओवरराइड कर सकते हैं। उदाहरण: https://training.local/s/teams_error?uid=john&t=cloudflare

डेटाबेस स्केलेबिलिटी

डिफ़ॉल्ट रूप से, यह उपकरण SQLite (training_log.db) का उपयोग करता है। उच्च-मात्रा वाले अभियानों या लोड-संतुलित परिनियोजन के लिए, आप SQLALCHEMY_DATABASE_URI सेट करके PostgreSQL या MySQL पर स्विच कर सकते हैं।

environment:
  - SQLALCHEMY_DATABASE_URI=postgresql://user:pass@db_host:5432/clickfix

सुरक्षा संबंधी विचार

• HTTPS अनिवार्य है: navigator.clipboard.writeText() API को एक सुरक्षित संदर्भ (HTTPS या localhost) की आवश्यकता होती है। यह उपकरण नेटवर्क पर सादे HTTP पर काम नहीं करेगा।
• पेलोड सुरक्षा: डिफ़ॉल्ट पेलोड केवल एक मैसेज बॉक्स खोलता है और ब्राउज़र को रीडायरेक्ट करता है। यह कोई सिस्टम परिवर्तन निष्पादित नहीं करता।
• एक्सेस नियंत्रण: एडमिन डैशबोर्ड बेसिक ऑथ (Basic Auth) द्वारा सुरक्षित है। परिनियोजन से पहले docker-compose.yml या .env में डिफ़ॉल्ट क्रेडेंशियल बदलें।

योगदान

योगदान का स्वागत है! दिशानिर्देशों के लिए कृपया CONTRIBUTING.md पढ़ें।

रोडमैप

v1.0 (वर्तमान) - प्रशिक्षण मोड

• ✅ मुख्य ClickFix सिमुलेशन
• ✅ 3 जाल टेम्पलेट (Cloudflare, Chrome, Windows Update)
• ✅ पूर्ण ईवेंट ट्रैकिंग और एडमिन डैशबोर्ड
• ✅ जाल इंजेक्शन के साथ सरल साइट क्लोनर

ज्ञात सीमाएं (v1.0)

1. केवल Windows निर्देश: निष्पादन ट्रिगर (Win+R) Windows-विशिष्ट हैं। macOS/Linux समर्थन v1.1 के लिए योजनाबद्ध है।
2. एकल पेलोड प्रकार: केवल PowerShell IEX स्टेजर समर्थित है। अतिरिक्त पेलोड प्रकार v1.1 के लिए योजनाबद्ध हैं।
3. कोई एवेज़न सुविधाएं नहीं: बॉट डिटेक्शन और जियोफेंसिंग लागू नहीं हैं। v2.0 के लिए योजनाबद्ध।

लाइसेंस

यह प्रोजेक्ट MIT लाइसेंस के तहत लाइसेंस प्राप्त है - विवरण के लिए LICENSE फ़ाइल देखें।