利用Metasploit制造一个键盘窃听网站

大家都应该知道网络钓鱼是什么吧，那么接下来这篇文章会来讲述如何利用Metasploit制造一个键盘窃听网站。

网络钓鱼的历史：

网络钓鱼技术始于1987年，于1995年被第一次发现。

攻击者通过钓鱼技术获取受害者的一些信息，包括用户名、密码、信用卡细节等等。
一般来说，攻击者会制造一个假冒的网站诱惑受害者进入并输入他的信息，比如仿造gmail、雅虎、facebook的登录框。

Javascript keylogger简介：

Javascript keylogger可以捕捉通过网络的键盘击键事件。
使用JavaScript keylogger的优势在于：他不需要我们预先拥有一个服务器空间，然后再上传一个假冒的网页，写伪造的页面、插链接

再写个蛋疼的采集脚本（如下图）…

使用Metasploit制造键盘窃听网站：

1. 打开msfconsle

2.搜索Keylogger

3.使用auxiliary/server/capture/http_javascript_keylogger模块

4.查看模块配置情况

5.我们这里以rapid7提供的Demo为例（页面比较简单）进行配置：

Set demo true

Set uripath keylogger

6.执行攻击模块

7.现在攻击者可以通过许多社工手段，引诱受害者浏览我们构造的钓鱼网站URL。

8.当受害者访问我们的网站并进行键盘输入时，一切都被记录在攻击者的msfconsole中。

总结：

本文仅仅只是一个基础的演示实例。
而在实际渗透测试中，我们还可以结合DNS欺骗等技术，制做更加逼真的钓鱼场景。

本文转自secer博客由网络安全攻防研究室(www.91ri.org)信息安全小组收集整理。