鑽石舞台｜痞客邦

Sep 23 Fri 2022 09:33
LemonSec - 通過網頁中的 6 個特徵字段檢測釣魚網站

導語：你可能會認為釣魚網站很難檢測和跟蹤，但實際上，許多釣魚網站都包含唯一標識它們的HTML片段。

你可能會認為釣魚網站很難檢測和跟蹤，但實際上，許多釣魚網站都包含唯一標識它們的HTML片段。本文就以英國皇家郵政(Royal Mail)釣魚網站為例來進行說明，它們都包含字符串css_4WjozGK8ccMNs2W9MfwvMVZNPzpmiyysOUq4_0NulQo。

這些長而隨機的字符串是追蹤釣魚網站的絕佳指標，幾乎可以肯定，任何含有css_4WjozGK8ccMNs2W9MfwvMVZNPzpmiyysOUq4_0NulQo的網頁都是皇家郵政釣魚工具的實例。

但是，像這樣的獨特字符串最終如何成為檢測網絡釣魚工具標識的呢？

不幸的是，我們並不是RFC 3514的模仿者，在RFC 3514中，如果所有的IP數據包是惡意的，那麼它們都包含一個標誌信號。不，這些識別字符串完全是由釣魚工具開發者無意中包含的。

釣魚工具是如何誕生的？

(繼續閱讀...)

鑽石舞台發表在痞客邦留言(0) 人氣()

個人分類：不設分類

▲top

Sep 23 Fri 2022 09:33
LemonSec - 實戰｜記一次企業釣魚演練

前言

釣魚演練伊始：

公司要求做一次釣魚演練，輾轉後任務落我身上，兩眼一抹黑，內心苟苟且且，但一想到今年七月份馬上發布的RTX40系，我這等等黨鐵定必然絕對是要剁手，想到這兒，我這個打工人立馬就打了雞血動力十足。

兵馬未動，糧草先行--→先有個大致思路再行動

一、思路與環境

着手去做這件事時候思路很亂，為此也是踩了不少坑，問了很多師傅（得重點謝謝志強大佬），看了一些文章，然後水了這篇文，錯誤就不寫了，踩得坑會提示一下。

思路:

釣魚演練核心是gophish，此平台聯動郵件服務器可以做到對郵件的統籌下發，如果郵件中包含釣魚鏈接，他還能夠鎖定個人並跟蹤監測到該員工：「是否查看郵件」，「是否點擊鏈接」，「是否輸入數據」，並且圖形化得展示出來，非常直觀，平台需要對外可訪問，涉及beian問題，所以還需要一台外網vps。

釣魚一般分兩種，水坑釣魚（廣撒網），魚叉釣魚（精準垂釣），不管怎麼釣，常用的方式就是郵件釣魚，涉及到發郵件，我們一般可以採用自己搭建郵件服務器，或者用在線發郵件，在線服務為了防止垃圾郵件泛濫會限制每日發送，大約一天上限30封左右，每發五封也會有一個冷卻cd，有時候郵件會丟失，所以當你面對一個大群體時候請直接選擇搭服務器。

(繼續閱讀...)

鑽石舞台發表在痞客邦留言(0) 人氣()