社会工程学 social-engineer toolkit使用

一、介绍

社会工程师工具包（SET）全称为Social-Engineer Toolkit，由TrustedSec的创始人创建和编写。它是一个开源的Python驱动工具，旨在围绕社交工程进行渗透测试，已经在包括Blackhat，DerbyCon，Defcon和ShmooCon在内的大型会议上提出过。它拥有超过200万的下载量，旨在利用社会工程类型环境下的高级技术攻击。TrustedSec认为，社会工程学是最难防范的攻击方式之一，是现在最流行的攻击方式之一。

二、安装

github地址：https://github.com/trustedsec/social-engineer-toolkit

 

wget https://github.com/trustedsec/social-engineer-toolkit/archive/7.7.9.tar.gz
tar xf 7.7.9.tar.gz 
 cd social-engineer-toolkit-7.7.9/
 #启动postgetrsql（依赖msf）
 service postgresql start
 #启动
 ./setoolkit

　　

三、使用（google登录）

#启动
 ./setoolkit
 
 
 #主要选择项
  Select from the menu:

   1) Social-Engineering Attacks #社会工程攻击（钓鱼网站等）
   2) Penetration Testing (Fast-Track)  #渗透测试（快速通道）
   3) Third Party Modules #第三方模块
   4) Update the Social-Engineer Toolkit  #新升级set
   5) Update SET configuration #更新set的设置
   6) Help, Credits, and About #帮助菜单

  99) Exit the Social-Engineer Toolkit  #退出

set> 


  
  
 #1选项
    1) Spear-Phishing Attack Vectors #鱼叉式网络钓鱼攻击
   2) Website Attack Vectors   #网页攻击
   3) Infectious Media Generator #传染媒介式(俗称木马)
   4) Create a Payload and Listener #建立payloaad和listener
   5) Mass Mailer Attack #邮件群发攻击(夹杂木马啊payload的玩意发给你)
   6) Arduino-Based Attack Vector #Arduino基础攻击
   7) Wireless Access Point Attack Vector  #无线接入点攻击
   8) QRCode Generator Attack Vector #二维码攻击
   9) Powershell Attack Vectors #Powershell攻击
  10) SMS Spoofing Attack Vector #短信欺骗
  11) Third Party Modules #第三反模块

  99) Return back to the main menu. #返回上级
 
 #2、选择web攻击
    1) Java Applet Attack Method #java applet攻击(网页弹窗那种)
   2) Metasploit Browser Exploit Method #Metasploit 浏览器漏洞攻击
   3) Credential Harvester Attack Method #钓鱼网站攻击
   4) Tabnabbing Attack Method #标签钓鱼攻击
   5) Web Jacking Attack Method #网站jacking攻击
   6) Multi-Attack Web Method #多种网站攻击方式
   7) Full Screen Attack Method #全屏幕攻击（只能够对谷歌邮箱和脸书用）
   8) HTA Attack Method   #HTA攻击
  99) Return to Main Menu #返回上级

 #再次选择2
    
   1) Web Templates #网站模版
   2) Site Cloner #克隆网站 （这个克隆网站的要求就是最好是静态页面而且有有POST返回的登录界面）
   3) Custom Import #自己设计的网站

  99) Return to Webattack Menu #返回上级
  #选择1测试
  #选择回车（或者输入ip）
  set:webattack> IP address for the POST back in Harvester/Tabnabbing [10.0.0.132]:

--------------------------------------------------------
             **** Important Information ****

For templates, when a POST is initiated to harvest
credentials, you will need a site for it to redirect.

You can configure this option under:

      /etc/setoolkit/set.config

Edit this file, and change HARVESTER_REDIRECT and
HARVESTER_URL to the sites you want to redirect to
after it is posted. If you do not set these, then
it will not redirect properly. This only goes for
templates.

--------------------------------------------------------

  1. Java Required
  2. Google
  3. Twitter
#选择2 Google
#一直回车
[*] The Social-Engineer Toolkit Credential Harvester Attack
[*] Credential Harvester is running on port 80
[*] Information will be displayed to you as it arrives below:

　　

浏览器访问

 

 

账号密码 

 

四、网站克隆（钓鱼）

依次选择
1
2
3
#出现
   1) Web Templates
   2) Site Cloner
   3) Custom Import

  99) Return to Webattack Menu

#选择2（克隆）
set:webattack> IP address for the POST back in Harvester/Tabnabbing [10.0.0.132]: 
[-] SET supports both HTTP and HTTPS
[-] Example: http://www.thisisafakesite.com
set:webattack> Enter the url to clone:http://这里是克隆的网址（如http://www.baidu.com）  #有些网站克隆不了

　　

浏览器访问