무선 모의해킹 (2) - Phising

★ 본 게시물은 테스트용 페이지이며 악용할 경우 책임은 악용한 당사자에게 있습니다.

피싱

공격 시나리오

1. 피싱 AP 생성하여 피싱사이트 유도

2. 사용자 ( 학생 또는 관리자 ) 는 공격자가 만들어놓은 AP에 접속. 피싱사이트로 유도됨.

3. 사용자 ( 학생 또는 관리자 ) 가 아이디 비밀번호를 입력하면 입력값은 공격자에게 넘어가며 페이지는 정상페이지로 이동.

4. 사용자 ( 학생 또는 관리자 ) 는 정상 웹서비스 이용.

피싱을위해 성적이나 수업시간표 등을 관리하는 "통합정보시스템" 페이지와 동일한 페이지를 만들었다. ( 테스트를 위한 페이지 )

원래 페이지와 동일한 페이지로 구성한다. 학생은 아이디가 학번이며, 교직원은 교직원 번호인것을 알 수 있다. ( 테스트용 페이지이며 문제시 댓글 부탁드립니다. 페이지수정하도록 하겠습니다. )

  

아이디는 201212345 , 비밀번호는 12345abc 를 입력했다.

로그인 버튼을 누르면 정상적인 페이지로 이동하도록 구성했다.  사용자는 한번 입력해서 로그인이 되지 않으면 아무런 의심없이 아이디 비밀번호를 다시 입력하게 되어있다. 다시 입력하면 정상적으로 로그인하게 된다.

아래 사진은 피싱페이지에서 아이디와 비밀번호를 입력하면 정상적인 페이지로 이동하는 과정에서 획득 할 수 있는 것이다.

로그인 버튼을 누르면 Result.txt 파일이 새로 생성되며 이 파일 안에는 아이디와 비밀번호가 저장되도록 제작했다.

Result.txt 파일을 보면 피싱페이지에서 아이디 201212345, 비밀번호 12345abc 를 입력한 그대로 저장되는것을 확인할 수 있다.

피싱 실습

모니터 모드로 전환한 후 채널 7번에 "FakeSsong" 이라는 피싱AP 를 생성한다.

무선 AP 목록을 보면 FakeSsong 이라는 SSID가 나타난 것을 확인할 수 있다.

IP 포워딩 작업 ( 0으로 설정되어 있는것을 1로 바꿔줌 ) 을 수행한다.

XXX/system ( 타겟 페이지 ) 에 접속하게되면 192.168.210.2 ( 위에서 설명한 대학교 통합정보시스템 피싱페이지 ) 로 유도 시켜준다.

DNS Spoofing 과정이다. 사용자 ( 학생 또는 관리자 ) 가 통합정보시스템 페이지에 접근하려고 URL 에 접근하면 공격자가 미리 준비한 피싱페이지에 접속하게 된다.

[ 무선 모의해킹 (3) - 사내 AP 패스워드 크랙  ]    에서 이어집니다.