Instructeur : Dans
la conférence précédente, nous avons vu comment utiliser un
serveur SMTP pour usurper les e-mails et les faire apparaître comme s'ils
étaient envoyés depuis n'importe quelle autre adresse e-mail que nous voulons.
J'ai également mentionné dans la
conférence précédente qu'il existe une autre façon de
le faire et qui utilise un hébergement Web.
L'hébergement Web est simplement un service
qui nous permet de chiffrer des fichiers sur Internet.
Par conséquent, nous pouvons l'utiliser pour héberger notre propre site Web,
nous pouvons l'utiliser pour partager
des fichiers ou nous pouvons même utiliser les ressources du
serveur pour envoyer des e-mails, comme je vais vous le montrer dans cette conférence.
Donc, comme vous pouvez le voir, apprendre à
configurer et à utiliser un hébergement Web peut être
utile dans de nombreux
scénarios et vous pouvez en fait l'utiliser pour faire
bien plus que ce que je vais vous montrer ici.
Maintenant, si vous regardez
sur Google, vous trouverez de nombreux fournisseurs d'hébergement Web gratuits.
Malheureusement, aucun d'entre eux ne vous permet
d'envoyer des e-mails.
Ce n'est pas vraiment un gros
problème car même les plans d'hébergement Web payants sont
très, très bon marché.
Vous pouvez rechercher en ligne
le moins cher et vous pouvez utiliser n'importe
quel fournisseur, car les étapes que je
vais vous montrer fonctionneront avec n'importe quel fournisseur.
Mais ici, j'ai un fournisseur d'hébergement Web
appelé DreamHost.
Ils sont assez bon marché et ils fonctionnent bien.
Donc, si nous cliquons sur Commencer ici, vous verrez que le
forfait le moins cher est de 2 $. 95 par mois.
Nous allons donc cliquer sur S'inscrire.
Je vais régler cela sur mensuel
et vous remarquerez que le prix augmentera légèrement, donc
maintenant c'est 5 $ par mois
au lieu de 2. 95 si vous avez payé pendant un an.
Mais c'est bien.
Et je vais dire choisi un domaine plus tard.
Vous n'aurez vraiment besoin d'utiliser un domaine que
si vous hébergez votre propre site Web.
Le domaine est ce que vous voyez ici en haut
quand il est dit, par exemple, dreamhost. com
ou zsecurity. com mais dans notre cas, nous n'en
avons pas besoin,
nous allons donc simplement dire de choisir un domaine plus tard.
Et nous allons sélectionner notre mode de paiement.
Je vais payer avec PayPal.
Ensuite, vous devez mettre l'adresse de facturation.
Maintenant, vous n'avez
pas besoin de mettre des informations correctes ici.
Vous pouvez mettre ce que vous voulez.
Donc je vais juste remplir ça au hasard.
Ensuite, nous avons la configuration du compte.
Assurez-vous de mettre un e-mail valide
ici car ils vous enverront une confirmation.
Je vais donc utiliser mon propre e-mail
et mettre un prénom, un nom, un numéro de téléphone.
Encore une fois, cela n'a pas besoin d'être réel.
Nous allons décocher cette case pour ne pas recevoir de marketing.
Nous ne voulons pas que WordPress
soit installé, nous décochons donc cette option.
Nous ne voulons pas de protection, alors nous décochons cela.
Et nous ne voulons pas du service de messagerie qu'ils fournissent, nous
décochons donc cette option car
nous allons en fait compter sur PHP
pour envoyer l'e-mail à l'aide de la fonction de messagerie de PHP.
Donc, en gros, nous décochons tout.
Nous allons pour le plan le plus basique dont ils disposent
et nous allons simplement cliquer sur Soumettre la commande.
Maintenant, l'inscription peut être légèrement différente si
vous utilisez un autre fournisseur, mais
les étapes sont très simples
et c'est plus ou moins la même chose.
Il nous demande de définir un mot de passe maintenant.
Et nous allons continuer vers notre panneau de contrôle.
Et parfait, nous avons maintenant un plan d'hébergement Web que nous
pouvons utiliser pour héberger nos propres sites Web, héberger
nos propres fichiers si vous vouliez
livrer des portes dérobées et autres
à vos cibles ou vous
pouvez l'utiliser pour envoyer de faux e-mails, comme je
suis va te montrer.
Maintenant, encore une fois, l'utilisation de ce
tableau de bord peut
être légèrement différente selon le fournisseur que vous avez, mais
vous remarquerez que les étapes sont à peu près les mêmes.
Vous voulez d'abord accéder à votre page de gestion
du site Web.
Vous pouvez donc
voir ici, cela nous donne ce bouton appelé Gérer mon site Web.
Nous pouvons voir qu'il s'agit de notre site Web en ce
moment, mais il est indiqué qu'il n'est pas disponible
car il est toujours en cours de configuration.
On va donc lui laisser le temps de se
mettre en place et on reprendra la vidéo une fois qu'elle sera prête.
D'accord, maintenant que le site
Web est prêt et que nous pouvons en
voir un aperçu ici, nous cliquons simplement dessus pour y accéder.
Comme vous pouvez le
voir maintenant, il s'agit de l'URL de
notre site Web et vous pouvez voir que c'est un site
Web simple qui n'a rien qui vous indique
que vous devriez aller à l'administrateur pour ajouter des éléments à ce site Web.
Revenons donc à la page de gestion.
Nous allons cliquer sur Gérer.
Et selon le fournisseur que vous avez, vous
voulez rechercher le gestionnaire de fichiers.
Donc, dans mon cas, vous pouvez voir
ici, il est écrit
Gérer les fichiers et si nous cliquons sur
Gérer ici, nous aurons notre gestionnaire de fichiers.
À partir de là, vous voulez naviguer vers
un répertoire appelé public. html ou un
répertoire qui porte le nom
de votre site Web comme nous l'avons ici.
C'est donc en fait le nom avec lequel je me suis inscrit.
C'est du charabia mais c'est ce à quoi je l'ai mis en fait.
Alors on va juste cliquer dessus.
C'est le répertoire où vous devez télécharger vos fichiers.
Donc, si vous hébergez un
site Web, vous devez télécharger les fichiers du site Web ici.
Ou si vous
partagez des fichiers, vous devez également les télécharger
ici ou dans notre cas, nous voulons envoyer de
faux e-mails, nous allons donc télécharger le fichier PHP
que nous allons utiliser pour envoyer les e-mails à cet emplacement .
Maintenant, le fichier est dans les ressources de cette conférence.
Alors téléchargez-le.
Je l'ai déjà téléchargé ici.
Et comme vous pouvez le voir dans
le nom du fichier, vous allez devoir renommer ce fichier à envoyer. php car je ne
peux pas télécharger de fichiers
PHP, c'est pourquoi je l'ai téléchargé au format TXT.
Nous allons donc remonter et
vous devrez trouver le bouton Upload.
Dans mon cas, c'est ici.
Je vais cliquer dessus.
Télécharger le fichier et sélectionnez le fichier que je veux télécharger, qui
se trouve dans mes téléchargements et c'est ce fichier ici.
Je vais double-cliquer dessus et nous
avons le fichier ici, envoyez. php.
Donc, tout ce que nous
avons à faire maintenant est d'aller sur le
site Web et je l'ai ouvert dans cet onglet ici.
Et nous allons mettre une barre oblique après
le nom du site Web.
Et tapez le nom du fichier, qui est envoyé. php.
Son utilisation est donc très simple.
Tout ce que vous avez à faire
est de définir l'e-mail auquel vous souhaitez envoyer cet e-mail et
juste pour le changer, je
vais l'envoyer à mon autre e-mail,
qui est zaid@zsecurity. org.
Ensuite, nous allons définir l'e-mail de
provenance, c'est l'e-mail d'où cet e-mail apparaîtra
comme s'il venait.
Encore une fois, juste pour changer les
choses, nous allons cette fois définir
l'e-mail de à adrian@zsecurity. org.
Encore une fois, lorsque vous définissez l'e-mail de
provenance, assurez-vous de le définir sur
un e-mail qui existe
réellement et assurez-vous que votre cible reçoit réellement les e-mails
de cet e-mail et communique avec eux.
Cela garantira que l'e-mail atterrira
dans la boîte de réception et augmentera également les
chances de votre cible d'ouvrir l'e-mail et d'interagir avec lui.
Adrian travaille avec moi dans la même entreprise.
Nous échangeons fréquemment des e-mails, c'est donc
un très bon passage d'un e-mail à une usurpation.
Le champ suivant est le champ de nom.
Ceci est similaire à l'en-tête
from que nous avons défini manuellement dans la leçon précédente.
Alors laissez-moi aller dans
ma boîte de réception pour vous montrer où ce nom apparaît.
Ici, j'ai un vrai e-mail
qu'il a reçu d'Adrian.
Et cette partie ici est le nom.
Ainsi, tout ce que vous
définissez ici sera affiché dans cette partie.
Si vous ne le
configurez pas, il sera automatiquement défini sur l'e-mail
et il apparaîtra comme celui-ci, qui
n'est pas identique au vrai que je peux
obtenir de lui.
Donc on va mettre ça au nom d'Adrian.
Nous allons définir
le sujet et définissons simplement le sujet
de ceci sur Test et nous
allons simplement définir le corps sur ceci est un autre test d'usurpation d'e-mail.
Maintenant, je n'ai pas vraiment besoin d'envoyer une porte dérobée là-dedans.
Le but de cette
conférence est de vous montrer une autre méthode d'usurpation d'e-mails.
Alors maintenant que nous avons
terminé avec tout, je vais cliquer sur Soumettre pour envoyer l'e-mail et
comme vous pouvez le voir, il s'agit d'un e-mail envoyé.
Cela signifie donc que l'e-mail a été envoyé et livré.
Passons donc à la boîte de réception.
Voyons s'il a l'air identique au vrai et
voyons s'il est réellement livré dans
notre boîte de réception.
Donc ici, j'ai ma boîte de réception et comme
vous
pouvez le voir, ici, celui du bas est un e-mail
que j'ai reçu d'Adrian.
Ceci est un vrai email d'Adrian.
Vous pouvez voir le nom ici correct.
Similaire au nom ici.
Si je reste sur le vrai e-mail,
comme vous pouvez le voir, j'obtiendrai une carte qui montre son
nom, son e-mail et son numéro de téléphone et si
je survole le faux, encore une fois, j'obtiens
exactement la même carte parce
que c'est tirant ceci de mes contacts.
Donc, il remplit automatiquement ceci.
Si je vais sur le vrai e-mail ici, encore une
fois, vous pouvez voir qu'il s'agit d'un vrai e-mail de lui.
Vous voyez le nom, vous
voyez le profil et vous voyez le nom d'Adrian Bude.
Maintenant, passons à l'usurpation.
Encore une fois, vous avez
la photo, vous avez le nom et si nous
regardons ici, vous avez le
bon e-mail, adrianbude@zsecurity. org.
La seule partie qui peut sembler un peu suspecte est le
fait que cela se dit via ceci.
Mais beaucoup de gens ne feront pas
attention à cela et cela ne s'affiche que dans Gmail.
Nous avons donc testé avec Live.
Cela n'apparaît même pas dessus et
même avec Gmail,
nous avons la bonne photo de
profil, nous avons le bon
nom, nous avons le bon e-mail si vous
regardez ici et nous avons même le bon numéro de téléphone.
C'est donc juste une autre méthode
pour vous montrer comment usurper des e-mails au
cas où la méthode précédente ne fonctionnerait pas
ou si vous ne l'aimiez tout simplement pas, vous pouvez essayer celle-ci.
Encore une fois, comme je l'ai dit, vous pouvez utiliser n'importe quel fournisseur d'hébergement Web.
Vous n'êtes pas obligé d'utiliser celui que j'ai utilisé.
Vous pouvez essayer les gratuits, vous pouvez essayer les payants et
comme je l'ai dit, vous obtiendrez de meilleurs
résultats avec les payants.
Les étapes sont à peu près les mêmes.
La seule différence pourrait être le processus d'inscription
et le processus de téléchargement du fichier
sur le site Web.
Mais l'idée est la même.
Vous vous inscrivez auprès d'un fournisseur d'hébergement Web,
vous téléchargez l'envoi. php, vous parcourez le
fichier . php à
partir de votre navigateur Web et vous l'utilisez pour envoyer l'e-mail.