CredSniper

• Panoramica
  • Vantaggi
• Utilizzo di base
• Installazione
• Screenshot
  • Modulo Gmail
• Manutentore
• Contribuire

Panoramica

Lancia facilmente un nuovo sito di phishing completamente protetto con SSL e cattura le credenziali insieme ai token 2FA utilizzando CredSniper. L'API fornisce accesso sicuro alle credenziali catturate che possono essere consumate da altre applicazioni utilizzando un token API generato casualmente.

Offerto da:

Vantaggi

• SSL completamente supportato tramite Let's Encrypt
• Clone esatti dei moduli di accesso per phishing realistico
• Qualsiasi numero di pagine intermedie
  • (es. pagina di accesso Gmail, password e due fattori, poi un reindirizzamento)
• Supporta il phishing dei token 2FA
• API per integrare le credenziali in altre applicazioni
• Facile da personalizzare utilizzando un framework di template

Utilizzo di base

usage: credsniper.py [-h] --module MODULE [--twofactor] [--port PORT] [--ssl] [--verbose] --final FINAL --hostname HOSTNAME

optional arguments:
  -h, --help           mostra questo messaggio di aiuto ed esci
  --module MODULE      nome del modulo di phishing - ad esempio "gmail"
  --twofactor          abilita il phishing a due fattori
  --port PORT          porta di ascolto (default: 80/443)
  --ssl                usa SSL tramite Let's Encrypt
  --verbose            abilita output verbose
  --final FINAL        url finale a cui l'utente viene reindirizzato dopo il phishing
  --hostname HOSTNAME  hostname per SSL

Credenziali

.cache : Memorizza temporaneamente username/password durante il phishing 2FA

.sniped : Archiviazione su file flat per credenziali catturate e altre informazioni

Endpoint API

• Visualizza Credenziali (GET) https://<phish site>/creds/view?api_token=<api token>

• Segna Credenziale come Visto (GET) https://<phish site>/creds/seen/<cred_id>?api_token=<api token>

• Aggiorna Configurazione (POST) https://<phish site>/config

	{
	   'enable_2fa': true,
	   'module': 'gmail',
	   'api_token': 'some-random-string'
	}

Moduli

Tutti i moduli possono essere caricati passando il comando --module <nome> a CredSniper. Vengono caricati da una directory all'interno di /modules. CredSniper è realizzato con Python Flask e tutti i template HTML dei moduli sono renderizzati utilizzando Jinja2.

• Gmail: L'ultimo login di Gmail clonato e personalizzato per attivare/phishing di tutte le forme di 2FA
  • modules/gmail/gmail.py: Modulo principale caricato con --module gmail
  • modules/gmail/templates/error.html: Pagina di errore per 404
  • modules/gmail/templates/login.html: Pagina di accesso Gmail
  • modules/gmail/templates/password.html: Pagina password Gmail
  • modules/gmail/templates/authenticator.html: Pagina Google Authenticator 2FA
  • modules/gmail/templates/sms.html: Pagina SMS 2FA
  • modules/gmail/templates/touchscreen.html: Pagina Richiesta Telefono 2FA

AGGIORNAMENTO GMAIL: Google richiede una forma di backup del 2FA quando si utilizza U2F. È possibile bypassare U2F forzando una delle opzioni di fallback invece di chiedere all'utente di utilizzare il proprio dispositivo U2F. CredSniper tenta di forzare SMS se disponibile, altrimenti forza TOTP. Per vittime esperte di sicurezza, potrebbero essere diffidenti se viene richiesto il token SMS o TOTP invece del dispositivo U2F.

• Example: Un modulo di esempio che dimostra il phishing standard con token 2FA
  • modules/example/example.py: Modulo principale caricato con --module example
  • modules/example/templates/login.html: Modulo di accesso standard
  • modules/example/templates/twofactor.html: Modulo token 2FA standard

Installazione

Ubuntu 16.04

Puoi installare ed eseguire automaticamente con il seguente comando:

$ git clone https://github.com/ustayready/CredSniper
$ cd CredSniper
~/CredSniper$ ./install.sh

Quindi, per eseguire manualmente usa i seguenti comandi:

~/$ cd CredSniper
~/CredSniper$ source bin/activate
(CredSniper) ~/CredSniper$ python credsniper.py --help

Nota che è richiesto Python 3.

Screenshot

Modulo Gmail

Manutentore

• CredSniper è stato originariamente creato da Mike Felch (@ustayready)

Contribuire

1. Crea un issue per discutere la tua idea
2. Fai il fork di CredSniper (https://github.com/ustayready/CredSniper/fork)
3. Crea il tuo branch per la funzionalità (git checkout -b my-new-feature)
4. Esegui il commit delle tue modifiche (git commit -am 'Add some feature')
5. Carica sul branch (git push origin my-new-feature)
6. Crea una nuova Pull Request

Segnalazioni di bug, richieste di funzionalità e patch sono benvenute.