一个局域网下钓鱼网站演示的设计思路
2013-09-30 21:06
218 查看
一般的公司会有OA系统,有一些操作需要在登录后才能执行,为了登录后能跳转到登录前的页面,OA的设计者有的就使用了类似backUrl=readInfp.html的设计,如果这种跳转没有经过严格的过滤就会出现容易被钓鱼的问题,这就可以用来给新人培训,毕竟使用身边的例子更能加深培训者的印象,当然,在此之前最好申请OA部门以及直接主管的同意,毕竟指出OA的问题会让OA的开发部门及管理部门不爽,下面开始讲解,
第一步,找到一个可能存在设计漏洞的URL,比如:
http://passport.xx-inc.com/login/login.jsp?ru=http://oa.xx-inc.com/vmain/login.jsp?rm=http
第二步,验证其是否存在漏洞:
把http://oa.xx-inc.com/vmain/login.jsp?rm=http中的URL改成你的一个服务,如http://192.168.12.100/test.jsp,http://192.168.12.100/test.jsp?rm=http,
然后登录你的OA,如果登录成功后,跳转到http://192.168.12.100/test.jsp,那么就验证了它存在这样的漏洞。
第三步,伪装:
就算是最简单的钓鱼也不会出现类似192.168这样的IP地址的,而最简单的办法就是伪造一个DNS,然后把xx-inc2.com解析为你的IP地址,伪装后的URL看上去像这样,
http://passport.xx-inc.com/login/login.jsp?ru=http://oa.xx-inc2.com/vmain/login.jsp?rm=http,至于如何实现这样的DNS伪造,一个最简单的办法就是共享你的无线网卡,让新员工加入你的WIFI,,你只需要在本机修改hosts文件即可【WIN7下共享无线网卡参见: href="/article/1890357.html" target=_blank>/article/1890357.html,ubuntu下共享WIFI参见,/article/1890309.html】。
经过上面几步,你的演示看起来像这样:
你的密码安全吗?
第一步,连接xx2013的无线
第二步,扫描二维码
第三步,访问OA
第四步,xx你的密码是xxxxxxx,回去修改吧!
第一步,找到一个可能存在设计漏洞的URL,比如:
http://passport.xx-inc.com/login/login.jsp?ru=http://oa.xx-inc.com/vmain/login.jsp?rm=http
第二步,验证其是否存在漏洞:
把http://oa.xx-inc.com/vmain/login.jsp?rm=http中的URL改成你的一个服务,如http://192.168.12.100/test.jsp,http://192.168.12.100/test.jsp?rm=http,
然后登录你的OA,如果登录成功后,跳转到http://192.168.12.100/test.jsp,那么就验证了它存在这样的漏洞。
第三步,伪装:
就算是最简单的钓鱼也不会出现类似192.168这样的IP地址的,而最简单的办法就是伪造一个DNS,然后把xx-inc2.com解析为你的IP地址,伪装后的URL看上去像这样,
http://passport.xx-inc.com/login/login.jsp?ru=http://oa.xx-inc2.com/vmain/login.jsp?rm=http,至于如何实现这样的DNS伪造,一个最简单的办法就是共享你的无线网卡,让新员工加入你的WIFI,,你只需要在本机修改hosts文件即可【WIN7下共享无线网卡参见: href="/article/1890357.html" target=_blank>/article/1890357.html,ubuntu下共享WIFI参见,/article/1890309.html】。
经过上面几步,你的演示看起来像这样:
你的密码安全吗?
第一步,连接xx2013的无线
第二步,扫描二维码
第三步,访问OA
第四步,xx你的密码是xxxxxxx,回去修改吧!
相关文章推荐
- 一个局域网下钓鱼网站演示的设计思路
- 请各位大虾们帮帮小弟,谢谢!一个关于产品搜索数据库设计思路的问题
- 使用silverlight构建一个图形化流程设计器(二)(附源代码下载及在线演示)
- 设计题:猫叫,老鼠逃跑,主人惊醒。在网上面看到很多不同的设计版本,自己也写一个,供讨论是否设计思路正确
- 如何编写一个第三方框架,我的设计思路及看法
- iOS倒计时设计思路和一个系统时间的坑
- [Other]来做一个微信打印机吧 -- 微信打印的设计思路參考
- 使用silverlight构建一个工作流设计器(四)(附最新源代码及在线演示)
- 使用silverlight构建一个工作流设计器(五)(附最新源代码及在线演示)
- 个人管理:从昨天的一个设计评审来谈如何与人交流你的设计思路
- 使用silverlight构建一个工作流设计器(六)(附最新源代码及在线演示)
- 一个文本情感识别与舆情分析的算法设计思路
- HDFS设计思路,HDFS使用,查看集群状态,HDFS,HDFS上传文件,HDFS下载文件,yarn web管理界面信息查看,运行一个mapreduce程序,mapreduce的demo
- 三款工作流引擎比较:WWF、netBPM 和 ccflow 下面将对目前比较主流的三款工作流进行介绍和比较,然后通过三款流程引擎分别设计一个较典型的流程来给大家分别演示这三款创建流程的过程.这
- (转)关于TCP的一个跨层设计的 具体实现思路 (兼讨论 tcl.eval与Tcl_Eval的区别)
- 利用一个form同时进行更新和添加的工作的设计思路是
- 个人管理:从昨天的一个设计评审来谈如何与人交流你的设计思路
- HDFS设计思路,HDFS使用,查看集群状态,HDFS,HDFS上传文件,HDFS下载文件,yarn web管理界面信息查看,运行一个mapreduce程序,mapreduce的demo
- 一个高性能交互式查询与分析引擎的设计思路
- 设计一个高并发IM即时通讯软件的思路要点