Доброе время суток, уважаемые форумчане! Сегодня я вам расскажу о довольно лёгком способе обойти двухфакторную аутентификацию, Уже очень давно в интернете говорят о том, что двухфакторная аутентификация наиболее безопасна, и о том что ее сложно обойти, но это не так. Наверное все знают что большая уязвимость в нынешней системе это человеческий фактор.Так как не нужно использовать эксплойты, и искать различные уязвимости техники. В этой статье я расскажу о том, как обойти двухфакторную аутентификацию с помощью инструмента “Modlishka”, Этот инструмент должен быть очень полезен для тех кто проводит тесты на проникновение, для тех кто хочет провести хорошую фишинговую атаку.
Обход двухфакторной аутентификации
1)Скачивание инструмента
2) Настройка плагина “autocert”
Производить настройку нужно только если вы хотите провести фишинговую атаку по доверенному каналу браузера TLS
Замените переменную const CA_CERT содержимым файла MyRootCA.pem, а const CA_CERT_KEY содержимым MyRootCA.key в файле который находится по пути plugin/autocert.go.
3) Скомпилируйте и запустите тестовую конфигурацию “Modlishka”
Данная ссылка может быть использована для просмотра запущенной тестовой страницы. Вы можете заметить, как параметр « ident » скрыт от пользователя при первом запросе:
Собранные учетные данные жертвы можно найти в файле 'log' или с помощью одного из включенных плагинов:
4) Настройте свои параметры
Если вам нравится инструмент. Вы можете начать настройку конфигурации для выбранного вами домена. Модлишка может быть легко настроена с помощью набора доступных параметров командной строки или файлов конфигурации JSON.
Нет, но с правильным обратным прокси-сервером, нацеленным на ваш домен по зашифрованному каналу связи, которому доверяет браузер, взаправду можно не заметить, что что-то не так.
Если учесть отсутствие осведомленности пользователей, это означает, что вы отдаете свои ценные активы.
В конце концов, даже сложные системы защиты безопасности могут выйти из строя, если не будет достаточной осведомленности пользователей и наоборот.
В данный момент единственный способ решения этой проблемы с технической точки зрения - полностью полагаться на аппаратные токены двухфакторной аутентификации, основанные на протоколе U2F . Вы можете легко купить их онлайн. Однако не стоит забывать, что правильная осведомленность пользователей не менее важна.
Немножко советов:
1)используйте аппаратные токены U2F в качестве второго фактора аутентификации.
2)используйте менеджеры паролей, которые будут проверять правильность имени домена в вашем браузере, прежде чем вставлять пароль.
3)постоянно повышать осведомленность пользователей о нынешних методах социальной инженерии.
Мне кажется, что без рабочего доказательства концепции, которая на самом деле доказывает эту точку зрения, риск рассматривается как теоретический, и никаких мер для надлежащего решения не предпринимается. отсутствие правильной осведомленности о риске является подходящей ситуацией для злоумышленников, которые с радостью воспользуются ей.
P.S. Я не призываю проводить фишинговые атаки против компаний. Но чтобы вы были осведомлены о риске, использую один популярный сервис в качестве доказательства концепции.
На этом всё, спасибо за уделенное внимание, и драгоценные минуты времени. Удачи!
Обход двухфакторной аутентификации
1)Скачивание инструмента
Код:
$ go get -u github.com/drk1wi/Modlishka
$ cd $GOPATH/src/github.com/drk1wi/Modlishka/Производить настройку нужно только если вы хотите провести фишинговую атаку по доверенному каналу браузера TLS
Код:
$ openssl genrsa -out MyRootCA.key 2048`
$ openssl req -x509 -new -nodes -key MyRootCA.key -sha256 -days 1024 -out MyRootCA.pem3) Скомпилируйте и запустите тестовую конфигурацию “Modlishka”
Код:
$ make
$ sudo ./dist/proxy -config templates/google.com_gsuite.json
Ссылка скрыта от гостей
.Собранные учетные данные жертвы можно найти в файле 'log' или с помощью одного из включенных плагинов:
4) Настройте свои параметры
Если вам нравится инструмент. Вы можете начать настройку конфигурации для выбранного вами домена. Модлишка может быть легко настроена с помощью набора доступных параметров командной строки или файлов конфигурации JSON.
Итог
Вы наверное думаете что двухфакторная авторизация сломалась?
Нет, но с правильным обратным прокси-сервером, нацеленным на ваш домен по зашифрованному каналу связи, которому доверяет браузер, взаправду можно не заметить, что что-то не так.
Если учесть отсутствие осведомленности пользователей, это означает, что вы отдаете свои ценные активы.
В конце концов, даже сложные системы защиты безопасности могут выйти из строя, если не будет достаточной осведомленности пользователей и наоборот.
В данный момент единственный способ решения этой проблемы с технической точки зрения - полностью полагаться на аппаратные токены двухфакторной аутентификации, основанные на протоколе U2F . Вы можете легко купить их онлайн. Однако не стоит забывать, что правильная осведомленность пользователей не менее важна.
Немножко советов:
1)используйте аппаратные токены U2F в качестве второго фактора аутентификации.
2)используйте менеджеры паролей, которые будут проверять правильность имени домена в вашем браузере, прежде чем вставлять пароль.
3)постоянно повышать осведомленность пользователей о нынешних методах социальной инженерии.
Мне кажется, что без рабочего доказательства концепции, которая на самом деле доказывает эту точку зрения, риск рассматривается как теоретический, и никаких мер для надлежащего решения не предпринимается. отсутствие правильной осведомленности о риске является подходящей ситуацией для злоумышленников, которые с радостью воспользуются ей.
P.S. Я не призываю проводить фишинговые атаки против компаний. Но чтобы вы были осведомлены о риске, использую один популярный сервис в качестве доказательства концепции.
На этом всё, спасибо за уделенное внимание, и драгоценные минуты времени. Удачи!
