cobaltstrike--CHM、LNK钓鱼&网站钓鱼

Cobalt Strike之CHM、LNK、HTA钓鱼

CHM钓鱼 CHM介绍 CHM(Compiled Help Manual)即“已编译的帮助文件”.它是微软新一代的帮助文件格式,利用HTML作源文,把帮助内容以类似数据库的形式编译储存.利用CHM钓鱼主要原因是因为该文档可以执行cmd命令这里制作CHM需要用到一个工具就是 EasyCHM CHM制作过程:创建一个文件夹(名字随意),在文件夹里面再创建两个文件夹(名字随意)和一个index.html文件,在两个文件夹内部创建各创建一个index.html文件. 先将下列代码复制到根文件夹中的i

SQL注入-攻入Apple ID钓鱼网站实录

之前写的一篇利用SQL注入方式攻击钓鱼网站的文章,现在在博客园再分享一下. 下午,朋友发了一条朋友圈,内容大概这样: 大体就是她的iPhone丢了,收到了钓鱼短信,多么熟悉的套路,如下: 还好她比较机智,发现是个钓鱼网站,地址如下: http://www.apple-icloudid.com.cn 当时看到这件事后,想到之前有巨巨顺势搞定钓鱼网站,所以我也想小试牛刀一下,看看能否攻入钓鱼网站后台. 在试了几轮PHP常见后台地址后,比如/admin,/index.php/admin,均未奏效,索性

Django之CSRF跨站请求伪造（老掉牙的钓鱼网站模拟）

首先这是一个测试的代码请先在setting页面进行下面操作注释完成后,开始模拟钓鱼网站的跨站请求伪造操作: 前端代码: <!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <title>Title</title> <meta name="viewport" content="widt

易维信(EVTrust)支招五大技巧识别钓鱼网站

网上购物和网上银行凭借其便捷性和通达性,在互联网上日渐流行.在互联网上,你可以随时进行转账汇款或进行交易.据艾瑞咨询发布<2008-2009年中国网上支付行业发展报告>显示:中国互联网支付市场交易规模2008年同比增长181%,达到2743亿元,成为互联网发展最快的行业.其中,网络购物.航空客票占据了半壁江山. 当人们享受在线购物和支付便利的时候,你必须要警惕网络钓鱼的陷阱.当不法分子以假冒银行网站或购物网站等形式,诱骗客户输入银行卡号.密码.口令或是个人身分重要数据等,盗取客户资金或信息以实

PJzhang:国外主流站点钓鱼网站示例工具shellphish

猫宁!!! 参考链接:https://www.uedbox.com/post/58583/ 这个是这个项目的github地址 https://github.com/thelinuxchoice/shellphish git clone https://github.com/thelinuxchoice/shellphish.git 看看里面的内容执行shellphish脚本,这个脚本的名字本来就是shell钓鱼的意思这里执行脚本 bash shellphish.sh为好 sh shellph

setoolkit+花生壳制作钓鱼网站

国家法律一定要遵守,知识要用在对的地方. 本贴只为了和大家交流学习,请勿用在其他地方,损害任何人的利益. 今天我,来说一下钓鱼网站 (在kali) 我们选择 1 回车再选择 2 回车再选择3 回车再选择2回车直接默认本机ip,,直接回车写入你要克隆的网站地址,这里不演示的好. 然后回车一直到监听界面然后不用动不用退出这样就建好了 ,选择你在本机浏览器输入kali的ip(刚刚默认的ip)也就可以访问你克隆的页面.(但是现在只能同一网段的用户可以访问钓鱼网站,所以我们要用花生壳)

Social engineering tookit 钓鱼网站

目录 Set 钓鱼攻击网站克隆 Set Set(Social engineering tookit)是一款社会工程学工具,该工具用的最多的就是用来制作钓鱼网站. Kali中自带了该工具. 钓鱼攻击在应用程序中的漏洞利用工具集里面. 打开之后,我们看到了如下的界面. 1) 社会工程学攻击 2) 快速追踪测试 3) 第三方模块 4) 升级软件 5) 升级配置 6) 帮助 99)退出我们利用它来制作钓鱼网站,选择 1 社会工程学攻击 ,然后又跳出了下面的选择 1)鱼叉式网络钓鱼攻击 2)网页攻击

基础学习：社会工程学---利用Kali下的setoolkit进行钓鱼网站制作

利用Kali下的setoolkit进行钓鱼网站制作 1.打开kali2019,输入setoolkit,打开setoolkit模块 2.输入命令1,进入钓鱼攻击页面 3.输入命令2,进入web钓鱼攻击页面 4.输入命令3,进入到设置钓鱼页面选项 5.输入命令2,进入到克隆网页界面,回车继续,设置网页如下,我们用origin为例 6.回车开始进行克隆,一直回车直到如下界面 7.在网页输入Kali Ip地址,即可发现克隆的网页内容 8.输入账号密码,查看效果,后期可以利用内网穿透或者DNS域名更改,可

Kali Linux之使用SET快捷生成钓鱼网站方法

SET (Social Engineering Tools) 1.使用命令:setoolkit 会显示工具菜单 2.输入1 ,选择菜单中的Social-Engineering Attacks (社会工程学攻击) 会显示社会工程攻击的工具 3.输入2,选择Website Attack Vectors 网站(钓鱼)攻击向导会列出所有的网站(钓鱼)攻击的方法供你选择 4.输入3,选择Credential Harvester Attack Method(密码收割机( ‵▽′)ψ )功能如其名一样.

CobaltStrike 生成office宏病毒进行钓鱼攻击

关于WORD宏: 在百度百科上有: 宏是一个批量处理程序命令,正确地运用它可以提高工作效率.微软的office软件允许用户自己编写,叫VBA的脚本来增加其灵活性,进一步扩充它的能力.如完打开word文件同时要打开某个文件的功能,必须要自己编写一段称之为宏的脚本.具体做法是在"工具"菜单"宏"-"宏"弹出的对话框输入宏名,然后按"创建"按钮会打开visual basic编辑器,你就可以编程了,这个就是宏.学会它会有很多乐趣的.玩

网站钓鱼的方法和 xss

获取cookie利用代码cookie.asp <html> <title>xx</title> <body> <%testfile = Server.MapPath("code.txt") //先构造一个路径,也就是取网站根目录,创造一个在根目录下的code.txt路径,保存在testfile中 msg = Request("msg") //获取提交过来的msg变量,也就是cookie值 set fs = ser

QQFishing QQ钓鱼站点搭建

答:为什么要写这个代码? 当然不是做黑产去盗别人扣扣,也没有啥查看别人隐私信息的癖好,搭建该站点的适用对象为->使用社会工程学定向钓鱼攻击的安全渗透人员另外管理员界面后端写的很丑+很烂,除了我自身的技术原因外,另一个原因就是为了防止被盗号贩子给批量利用(生活艰难早日收手简单介绍一下这个项目趴: QQFishing 模仿QQ空间手机统一登录页面的钓鱼网站后端使用Python-Flask编写前端白嫖+随便写写,数据库使用MySQL 项目部署只支持Docker安装(懒得配置源码安装) 适用对象

20155223 Exp7 网络欺诈防范

20155223 Exp7 网络欺诈防范基础问题回答通常在什么场景下容易受到DNS spoof攻击? 无设防或防护力特别弟弟低的公共局域网,或者是在同一个局域网下. 在日常生活工作中如何防范以上两攻击方法? 鉴于DNS欺骗攻击的特点,即被动式攻击,因此我不可能在被攻击之前得到预警.那么抵御此类攻击,首先就必须升级DNS服务软件至最新版本,并打上补丁.尽量不在保密要求高的或存储有高度敏感性数据的计算机上网:建立入侵检测系统. 实践记录偷天换日--建立一个简易钓鱼网站钓鱼网站肯定会用到本机的

系列文章（一）：探究电信诈骗的关键问题与应对策略——By Me

导读:伴随着互联网与移动网的融合,移动互联网变得更加开放.与此同时,伴随着新型的移动互联网服务模式的出现,移动互联网的安全问题也出现了新的形式及特点. 如今,移动互联网遭受到的攻击已严重影响了人们的隐私安全.信息安全,甚至危及国家安全,造成重大社会影响.本文重点以目前现有的移动互联网存在的电信诈骗问题为切入点,一步步详细分析其原因和应对策略.后续笔者将会针对电信诈骗中的关键问题另行它文进行分析. 电信诈骗案屡见不鲜电信诈骗是指犯罪分子通过网络.电话和短信方式,编造虚假信息,设置骗局,对受害人实

csrf跨站请求伪造、csrf相关装饰器、auth认证模块、基于django中间件设计项目功能

目录 csrf跨站请求网站什么是csrf跨站请求网站经典例子-钓鱼网站模拟如何避免这种现象(预防) 如何在django中解决这个问题 form表单 ajax csrf相关装饰器 FBV CBV auth认证模块 auth模块模块是什么使用admin后台管理 Auth模块方法编写登录.注册功能 auth.authenticate(request, username=username, password=password)返回的是一个对象用户登录时候与用户没有登录(request.use

防止自己的网站被别人frame引用造成钓鱼

自己负责的某一网站,最近被不法份子通过<frame>的方式引入,用户点击对方的域名后,看到的内容跟自己网站一模一样.但是右击查看源码就会发现其中的原理: <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN"> <html> <head> <title></title> <meta http-equiv="pragma"

发送垃圾邮件的僵尸网络——药物（多）、赌博、股票债券等广告+钓鱼邮件、恶意下载链接、勒索软件+推广加密货币、垃圾股票、色情网站（带宏的office文件、pdf等附件）

卡巴斯基实验室<2017年Q2垃圾邮件与网络钓鱼分析报告> 米雪儿 2017-09-07 from:http://www.freebuf.com/articles/network/146587.html 垃圾邮件:季度亮点交付服务木马 2017年第二季度,我们发现了一大波恶意钓鱼邮件,这些邮件都将自身伪造成来自知名交付服务公司的通知.攻击者将木马下载程序放置在ZIP存档中发送给受害者,并在启动后下载其他恶意软件——Backdoor.Win32.Androm和Trojan.Win32.Kovt

嗅探、DNS劫持配合CS钓鱼

本章节讲述的是嗅探和DNS劫持的利用嗅探:同一个局域网下,原本应该丢弃的包,被保留下来,即使不开双向欺骗 Driftnet工具:Driftnet监视网络流量,抓取网络流量中的JPEG和GIF图像.这侵犯了人们的隐私,无论何时何地我们都不能这么做.除此之外,它还可以从网络中提取MPEG音频数据. driftnet –i 指定网卡名称 ettercap工具:选择remote-browser模块当使用这个模块的时候,被攻击目标机器访问的url都会在本地打开步骤1:ettercap –G #进

初试钓鱼工具Weeman+DNS欺骗的使用

下午无聊再网上闲逛随意看了下,自己做了一次测试,目前最新的版本是1.6.Weeman是一款运行在Python环境下的钓鱼渗透测试工具但这款工具简单易用,安装简单,可伪造HTML页面等等...网上看了下,国内这个工具教程很少,要么教程都是重复的,而且也不是很详细. 所以自己摸索了几个小时,把大致的使用过程发布出来和大家分享一下.说的不好地方请大家见谅. 工具项目地址:https://github.com/Hypsurus/weeman/ 克隆地址:https://github.com/Hypsu

iPhone 5s网络钓鱼邮件,和苹果发布会同步亮相

正如预期的一样,网络犯罪分子会利用Apple最新发表的iPhone 5s消息,几乎在苹果的新产品发表会同时,这个网络钓鱼(Phishing)信件开始流传.此次,趋势科技病毒防治中心 Trend Labs更深入发现,黑客利用Apple iPhone 5s 上市为饵进行的网络钓鱼事件,请网络用户小心防范. 这封伪装来自Apple Store的网络钓鱼(Phishing)信件声称收件者赢得了最新的智能型手机 iPhone 5s.为了获得这份奖品,用户要用正确的电子邮箱和密码登入所附的链接. 伪装来自A

巴特西