Социальная инженерия и OSINT презентация

Содержание

OSINT - поиск информации из открытых источников Open Source Intelligence согласно The Penetration Testing Execution Standard Advanced Reconnaissance Framework Средств автоматизации Open Source Intelligence (OSINT)

Слайд 1Лекция#3
Соц.инженерия и OSINT

Слайд 2OSINT - поиск информации из открытых источников
Open Source Intelligence согласно The

Penetration Testing Execution Standard
Advanced Reconnaissance Framework
Средств автоматизации Open Source Intelligence (OSINT)

Слайд 3Разведка
Сбор информации
База жителей Украины nomer.org
ЧП/ФОП: (любимый бот в Telegram

@OpenDataUABot)
Декларации @OpenDeclarationBot
Реестр судебных дел: http://reyestr.court.gov.ua/
101 публичный реестр Украины. Пользуйтесь! http://argumentua.com/stati/101-publichnyi-reestr-ukrainy-polzuites
Соц. Сети (восстановление аккаунта по известным данным)
Мессенджеры
Google (дорки)
Информация о мобильных номерах



Слайд 4БД утекших паролей



https://haveibeenpwned.com
https://www.leakedsource.com (2$ в сутки)
https://isleaked.com

Слайд 5Домены в зоне .ua

Для регистрации нужна торговая марка и номер лицензии
Найти

номер лицензии: http://dig.ua
Проверить владельца ТМ: http://base.uipv.org/searchBUL/search.php


Слайд 6Поисковики



Гугл хакинг
Продвинутый Яндекс поиск
Shodan
Censys

Слайд 7Социальный граф
http://www.yasiv.com/vk

Слайд 8Поиск информации о веб сайте
https://www.robtex.com - подробная информация об NS записях
http://www.tcpiputils.com

- сбор информации по IP
https://www.netcraft.com - поиск поддоменов
https://www.sergeybelove.ru/one-button-scan/ - проверка безопасности сайта

Слайд 9О компании
https://youcontrol.com.ua - бесплатно узнать ЕДРПОУ по ФИО/названию
https://usr.minjust.gov.ua/ua/freesearch - узнать инфо

о компании по ЕДРПОУ

Слайд 10Получить имейлы компании
https://emailhunter.co/
theharvester - утилита из KaliLinux

Слайд 11Maltego - сбор в 3 клика

Слайд 12Maltego - сбор в 3 клика


Слайд 13Maltego - сбор в 3 клика

Слайд 14Виды соц. инженерии (Самое общее)
https://habrahabr.ru/post/83415/
Претекстинг — это действие, отработанное по заранее

составленному сценарию (претексту). В результате цель (жертва) должна выдать определённую информацию, или совершить определённое действие. (дальше кейс на примере Amazon)

Этот вид атак применяется обычно по телефону.

Обычно нужны доп.данные (например, персонализации: выяснение имени сотрудника, занимаемой им должности и названия проектов, над которыми он работает), с тем, чтобы обеспечить доверие цели.


Слайд 15Виды соц. инженерии (Самое общее)
https://habrahabr.ru/post/83415/
Фишинг — техника, направленная на жульническое получение

конфиденциальной информации. Обычно злоумышленник посылает цели e-mail, подделанный под официальное письмо — от банка или платёжной системы — требующее «проверки» определённой информации, или совершения определённых действий.
Это письмо обычно содержит ссылку на фальшивую web-страницу, имитирующую официальную, с корпоративным логотипом и содержимым, и содержащую форму, требующую ввести конфиденциальную информацию — от домашнего адреса до пин-кода банковской карты.


Слайд 16Виды соц. инженерии (Самое общее)
https://habrahabr.ru/post/83415/
Троянский конь: Эта техника эксплуатирует любопытство, либо

алчность цели. Злоумышленник отправляет e-mail, содержащий во вложении важное обновление антивируса, или даже свежий компромат на сотрудника. Такая техника остаётся эффективной, пока пользователи будут слепо кликать по любым вложениям.



Слайд 17Виды соц. инженерии (Самое общее)
https://habrahabr.ru/post/83415/
Дорожное яблоко: Этот метод атаки представляет собой

адаптацию троянского коня, и состоит в использовании физических носителей.

Злоумышленник может подбросить инфицированный USB, CD, или карту памяти, в месте, где носитель может быть легко найден (коридор, лифт, парковка). Носитель подделывается под официальный, и сопровождается подписью, призванной вызвать любопытство.

Например: “Зарплата сотрудников на сентябрь 2016”.

Слайд 18Виды соц. инженерии (Самое общее)
https://habrahabr.ru/post/83415/
Кви про кво: Злоумышленник может позвонить

по случайному номеру в компанию, и представиться сотрудником техподдержки, опрашивающим, есть ли какие-либо технические проблемы. В случае, если они есть, в процессе их «решения» цель вводит команды, которые позволяют злоумышленнику запустить вредоносное программное обеспечение.

Слайд 19Виды соц. инженерии (Самое общее)
https://habrahabr.ru/post/83415/
Обратная социальная инженерия.
Целью обратной социальной инженерии

является заставить цель саму обратиться к злоумышленнику за «помощью». С этой целью злоумышленник может применить следующие техники:
Диверсия: Создание обратимой неполадки на компьютере жертвы.
Реклама: Злоумышленник подсовывает жертве объявление вида «Если возникли неполадки с компьютером, позвоните по такому-то номеру» (это в большей степени касается сотрудников, которые находятся в командировке или отпуске).

Слайд 20Методы социальной инженерии
https://habrahabr.ru/post/101641/
Подмена иконки файла;
Интригующее название файла;
Использовать стремление пользователя получить контент;
Имитация

живого общения;
Эксплуатация страхов пользователя.

Интересный способ доставки зловредов или как «хакеры» взламывают «мошенников»
Экзотика “scn” и “спец символ”

Слайд 21Content spoofing на примере сайта президента
Уязвимость закрыта!
http://president.gov.ua/js/jw/player.swf?file=http://site/1.flv
Пример :
Порошенко заявил о намерении

сняться в ПОРНО


Взято с http://websecurity.com.ua/6956/

Слайд 22Google Dorking в деле:
Пример запроса: gov.ua inurl:player.swf?file=
Пример видео: http://www.sample-videos.com/video/mp4/240/big_buck_bunny_240p_1mb.mp4
Сайт Чернобыльской АЭС
http://chnpp.gov.ua/plugins/content/jw_allvideos/jw_allvideos/includes/js/mediaplayer/player.swf?file=http://www.sample-videos.com/video/mp4/240/big_buck_bunny_240p_1mb.mp4
Сайт

прокуратуры сумской области
http://sumy.gp.gov.ua/plugins/content/jw_allvideos/includes/js/mediaplayer/player.swf?file=http://www.sample-videos.com/video/mp4/240/big_buck_bunny_240p_1mb.mp4

Слайд 23Где деньги?
Кейс 1 : Покупка техники на amazon
за 10% от стоимости
Кейс

2 (для дебилов):
“Волшебный кошелек”


https://bhf.io/threads/95624/

Слайд 24Создание клона сайта с помощью SET
SET (Social Engineer Toolkit) - специально

разработанная утилита для атак основанных на человеческом факторе (входит в состав KaliLinux).
Запускаем Kali, открываем консоль, запускаем SET:
# setoolkit


Слайд 25Создание клона сайта с помощью SET
Жмем 1 (Social-Engineering Attacks) -> Enter;
Жмем

2 (Website Attack Vectors) -> Enter;
Жмем 3 (Credential Harvester Attack Method) -> Enter;
Жмем 2 (Site Cloner) -> Enter.
Открываем вторую вкладку терминала (Ctrl+Shift+T)
# ifconfig
Копируем свой IP. (мой 192.168.0.108)

Слайд 26Создание клона сайта с помощью SET

Возвращаемся на вкладку с SET, вводим

IP 192.168.0.108 -> Enter;


Вводим ссылку на страницу, которою нужно скопировать: new.vk.com/login -> Enter;

Слайд 27Создание клона сайта с помощью SET


Если Apache не запущен, предложит его

запустить: y -> Enter.



Наш сайт находится в /var/www/html/ (3 файла), сервер уже запущен

Слайд 28Создание клона сайта с помощью SET



Переходим на свой IP 192.168.0.108, видим

сервер работает.

Слайд 29Создание клона сайта с помощью SET



Проверим содержимое /var/www/html/:
harvester_***.txt - файл с

записанными паролями (сейчас пустой);

index.html - сайт;

post.php - записывает данные отправленные с index.html в harvester_***.txt.

Слайд 30Создание клона сайта с помощью SET




Вернемся на сайт, введем данные и

проверим harvester_***.txt




Введенные данные записались в файл.

Слайд 31Создание клона сайта с помощью SET





Слайд 32Создание клона сайта с помощью SET






Слайд 33Создание клона сайта с помощью SET







Зарегистрировать домен похожий на целевой сайт;
Пример:

vk.com.fa45qfds.pp

Разместить на длинной ссылке:
Пример: vk.com.fa45qfds.pp/public109575012?z=photo-109575012_427234300%2Falbum-109575012_00%2Frev

Можно воспользоваться сервисом для сокращения ссылок: goo.gl, bitly.com;


Слайд 34Фишинговые письма
Очень много примеров фишинговых писем
Портал для отправки фишинговых писем (Phish.io)


Слайд 35Создание фишинговых писем
SnappySnippet - копирует любую разметку на сайте.
Например можно скопировать

внешний вид прикрепленных файлов

http://html.editey.com/ - сервис от гугла, позволяет видить изменения html “на лету”

https://templates.mailchimp.com/resources/inline-css/ - получение inlinecss

Отправка HTML писем - самый простой вариант Thunderbird

Слайд 36Боевой пример
https://en.protectmaster.org/v/login.php

https://en.protectmaster.org/g/login.php





Слайд 37Халявные домены и миллион акканутов с одной почты
https://freedns.afraid.org/
Пример:
goooglle.com.k.vu/verify_account.php

На 1 аккаунт гугла

можно регать тысячи сервисов т.к.
combonik@gmail.com = combo.nik@gmail.com
c.ombo.nik@gmail.com = co.m.bonik@gmail.com

Слайд 38Где взять шаблоны, чтоб не заморачиваться
https://securityiq.infosecinstitute.com

Слайд 39RuberDucky
Смысл заключается в том, что подключенное устройство является программируемым и определяется

в системе как USB-клавиатура, что как следствие, позволяет обойти любой запрет на автозагрузку и т.д.

https://goo.gl/mGOuBU - подробно в этом видео

https://ducktoolkit.com/ - сайт для авто формирования сплойтов

NetHunter — это пoчти не измененный Kali Linux, устанавливаемый «поверх» Android и работающий внутри chroot-окружения.

https://xakep.ru/2015/04/07/195-kalinethunter/ - хорошее описание возможностей


Слайд 40Неделя 2.
ДЗ 3 - сбор информации об одном из одногруппников (данные

будут на гугл диске)
Неделя 2 - Веб безопасность, Бабич Эдуард

Слайд 41https://www.facebook.com/protectmaster/
https://vk.com/protectua
https://www.youtube.com/channel/UCC5lUDEZMZGuV0JYNhpak1Q
https://twitter.com/protectmasterua
E-mail: info@protectmaster.org
Телефон: +380947112959

Похожие презентации

ИКТ в начальном образовании и требования ФГОС 262
Макияж и уход за собой 453
Проект. Завод по производству стерильных лекарственных средств в виде инфузий 225
Дейкун Дарья Игоревна. Фотоальбом 291
Информационный потенциал выборочного обследования домохозяйств Украины для исследования вопросов бедности и ограниченных возможностей в семьях с детьми Осипова И.И., директор департамента 160
Презентация Microsoft PowerPoint 149

Обратная связь

Если не удалось найти и скачать презентацию, Вы можете заказать его на нашем сайте. Мы постараемся найти нужный Вам материал и отправим по электронной почте. Не стесняйтесь обращаться к нам, если у вас возникли вопросы или пожелания:

Email: Нажмите что бы посмотреть 

Что такое ThePresentation.ru?

Это сайт презентаций, докладов, проектов, шаблонов в формате PowerPoint. Мы помогаем школьникам, студентам, учителям, преподавателям хранить и обмениваться учебными материалами с другими пользователями.

Для правообладателей

Яндекс.Метрика