mrbrutti/carteroМодульный фишинговый фреймворк с CLI для клонирования сайтов, отправки шаблонных писем и запуска фишинговых кампаний через email, SMS, iMessage и LinkedIn.
http://section9labs.github.io/Cartero/
Мощный Phishing Framework с полнофункциональным CLI-интерфейсом. Проект родился из необходимости, возникшей за годы работы с инструментами, которые просто не справлялись со своей задачей. Несмотря на множество существующих проектов, нам не удалось найти подходящее решение, которое сочеталло бы в себе и простоту использования, и гибкость настройки.
Cartero — это модульный проект, разделённый на команды, выполняющие независимые задачи (например, Mailer, Cloner, Listener, AdminConsole и т.д.). Кроме того, каждая подкоманда имеет повторяемые параметры конфигурации для настройки и автоматизации вашей работы.
Например, если мы хотим склонировать gmail.com, нам достаточно выполнить следующие команды.```shell ❯❯❯ ./cartero Cloner --url https://gmail.com --path /tmp --webserver gmail_com ❯❯❯ ./cartero Listener --webserver /tmp/gmail_com -p 80 Launching mongodb Puma starting in single mode...
Как только у нас есть работающий сайт, мы можем просто использовать команду Mailer для отправки шаблонных писем нашим жертвам:```shell
❯❯❯ ./cartero Mailer --data victims.json --server gmail_com --subject "Internal Memo" --htmlbody email_html.html --attachment payload.pdf --from "John Doe <[email protected]>"
Sending [email protected]
Sending [email protected]
Sending [email protected]
Присоединяйтесь к нашему сообществу Slack по адресу https://carteroslack.herokuapp.com/
Использование brew 2.1.5 ruby в качестве библиотеки ruby по умолчанию```shell ❯❯❯ curl -L https://raw.githubusercontent.com/Section9Labs/Cartero/master/data/scripts/setup.sh | bash
Использование установки ruby RVM 2.1.5```shell
❯❯❯ curl -L https://raw.githubusercontent.com/Section9Labs/Cartero/master/data/scripts/setup.sh | bash -s -- -r
❯❯❯ \curl -sSL https://get.rvm.io | bash -s stable --ruby
##### MongoDB
Cartero использует MongoDB + библиотеку MongoID для хранения данных на стороне Listener и Admin.
На OSX:```shell
❯❯❯ brew install mongodb
В Ubuntu / Kali / Debian```shell ❯❯❯ apt-get install mongodb
В Arch Linux```
❯❯❯ pacman -Syu mongodb
❯❯❯ git clone https://github.com/section9labs/Cartero ❯❯❯ cd Cartero ❯❯❯ gem install bundle ❯❯❯ bundle install ❯❯❯ cd bin
### Использование
### Команды
Cartero — это очень мощный и простой в использовании CLI.```shell
❯❯❯ ./cartero
Usage: cartero [options]
List of Commands:
AdminConsole, AdminWeb, Mailer, Cloner, Listener, Servers, Templates
Global options:
--proxy [HOST:PORT] Sets TCPSocket Proxy server
-c, --config [CONFIG_FILE] Provide a different cartero config file
-v, --[no-]verbose Run verbosely
-p [PORT_1,PORT_2,..,PORT_N], Global Flag fo Mailer and Webserver ports
--ports
-m, --mongodb [HOST:PORT] Global Flag fo Mailer and Webserver ports
-d, --debug Sets debug flag on/off
--editor [EDITOR] Edit Server
Common options:
-h, --help [COMMAND] Show this message
--list-commands Prints list of commands for bash completion
--version Shows cartero CLI version
Это простая обёртка для MongoDB, которая позволяет нам запускать и останавливать базу данных с соответствующими командами и в правильном пути ~/.cartero.```shell ❯❯❯ ./cartero Mongo Usage: Cartero Mongo [options] -s, --start Start MongoDB -k, --stop Stop MongoDB -r, --restart Restart MongoDB -b, --bind [HOST:PORT] Set MongoDB bind_ip and port
Common options: -h, --help Show this message --list-options Show list of available options
#### Cloner
WebSite Cloner, который позволяет загружать и преобразовывать веб-сайт в приложение Cartero WebServer.
Мы можем быстро и легко настроить веб-сайт для сбора учетных данных, серверных полезных нагрузок или полностью изменить сайт для любых целей.```shell
❯❯❯ ./cartero Cloner
Usage: Cartero Cloner [options]
-U, --url [URL_PATH] Full Path of site to clone
-W, --webserver [SERVER_NAME] Sets WebServer name to use
-p, --path [PATH] Sets path to save webserver
-P, --payload [PAYLOAD_PATH] Sets payload path
--useragent [UA_STRING] Sets user agent for cloning
--wget Use wget to clone url
--apache Generate Apache Proxy conf
Common options:
-h, --help Show this message
--list-options Show list of available options
По умолчанию команда использует нашу реализацию на Ruby для загрузки и преобразования ссылок для рендеринга, но мы также поддерживаем опцию --wget, которая использует локальную системную команду wget.
Слушатель отвечает за запуск WebServer, созданного через Cloner, или вручную созданного сайта. По умолчанию, если сайт не указан, мы предоставляем очень простой веб-сайт.```shell ❯❯❯ ./cartero Listener Usage: Cartero Listener [options] -i, --ip [1.1.1.1] Sets IP interface, default is 0.0.0.0 -p [PORT_1,PORT_2,..,PORT_N], Sets Email Payload Ports to scan --ports -s, --ssl Run over SSL. [this also requires --sslcert and --sslkey] -C, --sslcert [CERT_PATH] Sets Email Payload Ports to scan -K, --sslkey [KEY_PATH] Sets SSL key to use for Listener. -V, --views [VIEWS_FOLDER] Sets SSL Certificate to use for Listener. -P, --public [PUBLIC_FOLDER] Sets a Sinatra public_folder -W [WEBSERVER_FOLDER], Sets the sinatra full path from cloner. --webserver --payload [PAYLOAD] Sets a payload download to serve on /download --customapp [CUSTOM_SINATRA] Sets a custom Sinatra::Base WebApp. Important, WebApp name should be camelized of filename
Common options: -h, --help Show this message --list-options Show list of available options
Веб-серверы поддерживают SSL-ключи и виртуальные хосты на нескольких IP-адресах, именах хостов и портах.
#### Серверы
Для отправки кампаний по электронной почте нам необходимо настроить почтовые серверы, и эта команда позволяет Cartero создавать, хранить и перечислять серверы. Все данные хранятся в конфигурационном каталоге ~/.cartero.```shell
./cartero Servers
Usage: Cartero Servers [options]
-a, --add [NAME] Add Server
-e, --edit [NAME] Edit Server
-d, --delete [NAME] Edit Server
-l, --list List servers
Configuration options:
-T, --type [TYPE] Set the type
-U, --url [DOMAIN] Set the Mail or WebMail url/address
-M, --method [METHOD] Sets the WebMail Request Method to use [GET|POST]
--api-access [API_KEY] Sets the Linkedin API Access Key
--api-secret [API_SECRET] Sets the Linkedin API Secret Key
--oauth-token [OAUTH_TOKEN] Sets the Linkedin OAuth Token Key
--oauth-secret [OAUTH_SECRET]
Sets the Linkedin OAuth Secret Key