waelmas/frameless-bitbUn nuovo approccio al Browser In The Browser (BITB) senza l'uso di iframe, che permette di bypassare i tradizionali framebuster implementati dalle pagine di login come Microsoft e l'utilizzo con Evilginx.
Un nuovo approccio al Browser In The Browser (BITB) senza l'uso di iframe, che permette di bypassare i tradizionali framebuster implementati da pagine di login come quelle di Microsoft.
Questo codice POC è realizzato per utilizzare questo nuovo BITB con Evilginx e un phishlet Enterprise Microsoft.
Prima di addentrarti, ti consiglio di guardare il mio talk al BSides 2023, dove ho presentato per la prima volta questo concetto insieme a dettagli importanti su come creare l'attacco di phishing "perfetto". ▶ Guarda il video
Questo strumento è solo per scopi didattici e di ricerca. Dimostra un metodo di Browser In The Browser (BITB) non basato su iframe. L'autore non è responsabile per qualsiasi uso improprio. Utilizza questo strumento solo legalmente ed eticamente, in ambienti controllati per test di difesa della sicurezza informatica. Utilizzando questo strumento, accetti di farlo in modo responsabile e a tuo rischio.
Nell'ultimo anno, ho sperimentato diversi trucchi per creare l'attacco di phishing "perfetto". I tipici "campanelli d'allarme" che le persone sono addestrate a cercare sono cose come urgenza, minacce, autorità, grammatica scorretta, ecc. La prossima cosa che le persone controllano al giorno d'oggi è il link/URL del sito web con cui interagiscono, e diventano molto consapevoli nel momento in cui viene chiesto loro di inserire credenziali sensibili come email e password.
Qui entra in gioco il Browser In The Browser (BITB). Introdotto originariamente da @mrd0x, il BITB è un concetto che consiste nel creare l'aspetto di una finestra del browser credibile all'interno della quale l'attaccante controlla il contenuto (servendo il sito web malevolo all'interno di un iframe). Tuttavia, la barra degli URL falsa della finestra del browser falsa è impostata sul sito legittimo che l'utente si aspetta. Questo, combinato con uno strumento come Evilginx, diventa la ricetta perfetta per un attacco di phishing credibile.
Il problema è che negli ultimi mesi/anni, i principali siti web come Microsoft hanno implementato vari piccoli trucchi chiamati "framebuster/framekiller" che tentano principalmente di rompere gli iframe che potrebbero essere usati per servire il sito web proxy come nel caso di Evilginx.
In breve, Evilginx + BITB per siti web come Microsoft non funziona più. Almeno non con un BITB che si basa su iframe.
Un Browser In The Browser (BITB) senza alcun iframe! Semplice come sembra.
Ciò significa che possiamo ora usare BITB con Evilginx su siti web come Microsoft.
Evilginx è solo un esempio forte, ma lo stesso concetto può essere utilizzato anche per altri casi d'uso.
I framebuster prendono di mira specificamente gli iframe, quindi l'idea è creare l'effetto BITB senza l'uso di iframe e senza disturbare la struttura/contenuto originale della pagina proxy. Ciò può essere ottenuto iniettando script e HTML accanto al contenuto originale utilizzando ricerca e sostituzione (dette anche sostituzioni), per poi affidarsi completamente a trucchi HTML/CSS/JS per creare l'effetto visivo. Usiamo anche un trucco aggiuntivo chiamato "Shadow DOM" in HTML per posizionare il contenuto della pagina di atterraggio (sfondo) in modo che non interferisca con il contenuto proxy, permettendoci di utilizzare qualsiasi pagina di atterraggio in modo flessibile con pochi script JS aggiuntivi.
Crea una VM Linux locale. (Personalmente uso Ubuntu 22 su VMWare Player o Parallels Desktop)
Aggiorna e aggiorna i pacchetti di sistema:
sudo apt update && sudo apt upgrade -y
Crea un nuovo utente evilginx e aggiungilo al gruppo sudo:
sudo su
adduser evilginx
usermod -aG sudo evilginx
Verifica che l'utente evilginx sia nel gruppo sudo:
su - evilginx
sudo ls -la /root
Vai alla home dell'utente:
cd /home/evilginx
(Puoi fare tutto anche come utente sudo, dato che eseguiamo tutto localmente)
Scarica e costruisci Evilginx: Documentazione ufficiale
Copia i file di Evilginx in /home/evilginx
Installa Go: Documentazione ufficiale
wget https://go.dev/dl/go1.21.4.linux-amd64.tar.gz
sudo tar -C /usr/local -xzf go1.21.4.linux-amd64.tar.gz
nano ~/.profile
AGGIUNGI: export PATH=$PATH:/usr/local/go/bin
source ~/.profile
Controlla:
go version
Installa make:
sudo apt install make
Costruisci Evilginx:
cd /home/evilginx/evilginx2
make
Crea una nuova directory per la build di evilginx insieme a phishlet e redirector:
mkdir /home/evilginx/evilginx
Copia build, phishlet e redirector:
cp /home/evilginx/evilginx2/build/evilginx /home/evilginx/evilginx/evilginx
cp -r /home/evilginx/evilginx2/redirectors /home/evilginx/evilginx/redirectors
cp -r /home/evilginx/evilginx2/phishlets /home/evilginx/evilginx/phishlets
Correzione rapida del firewall di Ubuntu (grazie a @kgretzky)
sudo setcap CAP_NET_BIND_SERVICE=+eip /home/evilginx/evilginx/evilginx
Su Ubuntu, se ottieni l'errore Failed to start nameserver on: :53, prova a modificare questo file:
sudo nano /etc/systemd/resolved.conf
modifica/aggiungi DNSStubListener a no > DNSStubListener=no
poi
sudo systemctl restart systemd-resolved
Poiché useremo Apache2 davanti a Evilginx, dobbiamo far ascoltare Evilginx su una porta diversa dalla 443.
nano ~/.evilginx/config.json
CAMBIA https_port da 443 a 8443
Installa Apache2:
sudo apt install apache2 -y
Abilita i moduli Apache2 che verranno utilizzati: (Stiamo anche disabilitando il modulo access_compat poiché a volte causa problemi)
sudo a2enmod proxy
sudo a2enmod proxy_http
sudo a2enmod proxy_balancer
sudo a2enmod lbmethod_byrequests
sudo a2enmod env
sudo a2enmod include
sudo a2enmod setenvif
sudo a2enmod ssl
sudo a2ensite default-ssl
sudo a2enmod cache
sudo a2enmod substitute
sudo a2enmod headers
sudo a2enmod rewrite
sudo a2dismod access_compat
Avvia e abilita Apache:
sudo systemctl start apache2
sudo systemctl enable apache2
Prova se Apache e la rete della VM funzionano visitando l'IP della VM da un browser sulla macchina host.
Installa git se non è già disponibile:
sudo apt -y install git
Clona questo repository:
git clone https://github.com/waelmas/frameless-bitb
cd frameless-bitb
Crea le directory per le pagine che serviremo:
sudo mkdir /var/www/home
sudo mkdir /var/www/primary
sudo mkdir /var/www/secondary
Copia le directory per ogni pagina:
sudo cp -r ./pages/home/ /var/www/
sudo cp -r ./pages/primary/ /var/www/
sudo cp -r ./pages/secondary/ /var/www/
Opzionale: Rimuovi la pagina predefinita di Apache (non utilizzata):
sudo rm -r /var/www/html/
Copia il phishlet O365 nella directory dei phishlet:
sudo cp ./O365.yaml /home/evilginx/evilginx/phishlets/O365.yaml