CredSniper — это фишинговая платформа, написанная на Python с использованием микрофреймворка Flask и шаблонизатора Jinja2, которая поддерживает захват 2FA-токенов.
Легко запустите новый фишинговый сайт с полной поддержкой SSL и захватывайте учетные данные вместе с токенами двухфакторной аутентификации (2FA) с помощью CredSniper. API предоставляет безопасный доступ к захваченным учетным данным, которые могут потребляться другими приложениями через случайно сгенерированный API-токен.
Предоставлено вам:
использование: credsniper.py [-h] --module MODULE [--twofactor] [--port PORT] [--ssl] [--verbose] --final FINAL --hostname HOSTNAME
optional arguments:
-h, --help показать это справочное сообщение и выйти
--module MODULE имя фишингового модуля – например, "gmail"
--twofactor включить двухфакторный фишинг
--port PORT порт прослушивания (по умолчанию: 80/443)
--ssl использовать SSL через Let's Encrypt
--verbose включить подробный вывод
--final FINAL конечный URL, на который будет перенаправлен пользователь после завершения фишинга
--hostname HOSTNAME имя хоста для SSL
.cache : Временное хранение имени пользователя/пароля при фишинге 2FA
.sniped : Плоское файловое хранилище для захваченных учетных данных и другой информации
Просмотр учетных данных (GET)
https://<фишинг-сайт>/creds/view?api_token=<api-токен>
Пометить учетные данные как просмотренные (GET)
https://<фишинг-сайт>/creds/seen/<cred_id>?api_token=<api-токен>
Обновление конфигурации (POST)
https://<фишинг-сайт>/config
{
'enable_2fa': true,
'module': 'gmail',
'api_token': 'some-random-string'
}
Все модули могут быть загружены путем передачи команды --module <имя> в CredSniper. Они загружаются из каталога внутри /modules. CredSniper построен на Python Flask, а все HTML-шаблоны модулей рендерятся с помощью Jinja2.
--module gmailОБНОВЛЕНИЕ GMAIL: Google требует резервную форму 2FA при использовании U2F. Обход U2F возможен принудительным использованием одного из запасных вариантов вместо того, чтобы предложить пользователю использовать устройство U2F. CredSniper пытается принудительно использовать SMS, если оно доступно, в противном случае принудительно применяет TOTP. Для подкованных в безопасности жертв может быть настораживающим, если их просят ввести токен SMS или TOTP вместо использования устройства U2F.
--module exampleВы можете установить и запустить автоматически следующей командой:
$ git clone https://github.com/ustayready/CredSniper
$ cd CredSniper
~/CredSniper$ ./install.sh
Затем для ручного запуска используйте следующие команды:
~/$ cd CredSniper
~/CredSniper$ source bin/activate
(CredSniper) ~/CredSniper$ python credsniper.py --help
Обратите внимание, что требуется Python 3.
git checkout -b my-new-feature)git commit -am 'Add some feature')git push origin my-new-feature)Сообщения об ошибках, запросы функций и патчи приветствуются.
