kali setoolkit을 이용한 피싱 사이트 만들기

 

해당 블로그는 해킹 및 보안 블로그로 공부 및 연구용으로 작성되어지고 있습니다. 아래의 내용을 기반으로 해킹 시도 및 실제 공격을 시도하여 일어나는 모든 책임은 본인(따라한자)에게 있음을 알려드리며, 글쓴이는 아무런 책임을 지지 않습니다. 꼭 공부 및 연구용으로만 사용하여 주시길 바랍니다. 감사합니다.

kali를 사용하다 보면 피싱사이트를 만들거나 테스트 용으로 가짜 사이트를 만들어야 하는 경우가 있다.

이때 주로 사용하는 도구가 setoolkit 이라는 도구인데 피싱 사이트를 만드는 것 뿐아닌 스팸메일 등 사회공학 기법에서 사용하는 공격기법들이 다양하게 사용할 수 있다. 

 

setoolkit을 사용하기 위해선 먼저 msfdb와 postgresql을 실행 해야한다.

sudo service postgresql start

sudo msfdb init

만약 msfdb init을 했을 때 already started가 뜨면 reinit을 해도 좋고 그냥 실행 해도 좋다.

sudo msfdb reinit

이렇게 실행을 하면 준비가 끝났다. 이제 가짜 페이지를 만들기 위해 setoolkit을 실행 시킬 것인데 다시 말하지만 꼭 테스트용 및 연구용으로 사용하길 바란다.

sudo setoolkit
//만약 setoolkit이 설치가 안되어있다면 아래의 명령어를 실행한다.
sudo apt-get update
sudo apt-get install setoolkit

해당 커맨드를 실행하면 msfconsole을 실행 했을때와 비슷한 화면을 확인할 수 있다.

메뉴를 확인하면 우리는 Social-Engineering Attacks를 사용할 것이다. 그렇기에 1을 입력한다. 

입력 후 다음 메뉴를 확인하면 스피어 피싱 어택부터 써드파티 모듈까지 메뉴를 확인할 수 있다.

우리는 2번에 있는 Website Attack Vectors를 사용할 것이기 때문에 2를 입력한다.

다음 메뉴를 확인하면 피싱을 하는 이유는 정보를 탈취하기 위함이기 때문에 Credential Harvester Attack Method 인 3번을 실행할 것이며, 가짜 사이트를 만든다. 여기서 확인을 해보면

기본적으로 Setoolkit에서 지원해주는 웹 템플릿이 있으며, 대표적으로 구글과 페이스북 정도가 있다. 제공해주는 템플릿을 사용한다고 생각하면 1번을 클릭하면 되고 다른 사이트를 하고 싶으면 2번을 클릭하면 된다.

블로그를 작성하는 시점에선 2번을 하여 다른 사이트를 만들어 보려한다.

1번을 클릭하거나 2번을 클릭하게 되면 이제 공격 시 사용할 서버 즉, C2서버의 역할을 할 서버의 아이피를 입력하라하며, 해당 서버에 정보를 전송하여 아이디와 패스워드를 탈취하는 서버로 사용된다.

 

아이피를 입력하면 마지막으로 어느 사이트를 기반으로 만들 것인지 입력하게 되는데

만약 네이버로 피싱사이트를 만들고 싶으면 http://naver.com 를 입력하면 된다.

이렇게 하면 가짜 페이지가 만들어지고  공격자 ip에 접속하게 되면 가짜로 만들어진 페이지를 볼수있으며, 아이디와 패스워드를 입력해보면 터미널에 출력되는 것을 확인할 수 있다.

 

다음에는 setoolkit과 다른 공격들을 이용하여 응용하도록 해보겠다.