[Phishing] Social Engineering Ninja v0.4

Social Engineering Ninja es una popular herramienta escrita en PHP la cual contiene poderosas herramientas para ataques de ingeniería social, su punto fuerte es el área del phishing ya que contiene varias copias falsas de sitios web famosos para capturar contraseñas y puede ejucatar exploits en navegadores actualizados. Actualmente su ulima versión es esta, la 0.4.


Entre la lista de paginas web falsas que contiene se encuentran:
- Amazon.com
- Twitter.com
- Facebook.com
- Gmail.com
- Paypal.com
- Yahoo.com
- Digg.com y otras muchas más...

Como metodos encontramos dos tecnicas bastante utilizadas como tabnapping y un XSS stealing que podemos usar para infectar algun dominio o aprovechar algun XSS de forma masiva en alguna red social o pagina web famosa..

En el menu del programa podemos ver herramientas de phishing, un mailer, herramienta para tabnabbing, exploits, un packer, un uploader, un xss stealer y otra herramienta para capturar IPs.

- Instalación:
La instalación resulta bastante sencilla:
- Copiamos la carpeta descomprimida al servidor.
- Cambiamos el archivo de configuración por los datos de nuestra base de datos y servidor
. El archivo se encuentra en /config/config.php.
- Ingresamos desde el navegador en la web en la carpeta /install/ y seguimos los pasos hasta completar la instalación.

- Protección:
Para evitar estas técnicas de phishing es conveniente mirar la direccion de la pagina web en la que estamos antes de dar nuestros datos...


O bien comprobando el certificado de seguridad de la pagina web:
 

- Capturas de pantalla:  

- Descarga:
Social Engineering Ninja v0.4

[XSS] hispavista.com y otros

Aquí os dejo unas cuantas vulnerabilidades XSS (Cross site scripting) en las webs pertenecientes a hispavista.com, como son:




hispavista.com
neopolis.com (Red Social)
labolsa.com
galeon.hispavista.com

La vulnerabilidad se encuentra en los buscadores de esas paginas, al introducir una cadena simple como "><script>alert(/XSS/)</script> nos podemos dar cuenta del fallo.

Aqui los links donde podeis observar el fallo al introducir esa cadena en los buscadores de esas paginas:

Hispavista.com
Galeon
Labolsa.com
Neopolis.com

Tutorial de XSS, XSF, CSRF, XFS, XZS, XAS, XRS & XSSDoS

Leyendo por ahí, me encuentro con un mega tutorial XSS hecho porlord epsylon el cual comprende una amplia gama de variaciones y/o tipos de XSS (por no decir todos), son 174 páginasy a parte que está muy bien hecho (y en español). 100% recomendado, muy gráfico y muy claro, muchas páginas, pero al leerlo se hace muy rápido.

En el XSS se manipula la entrada (input) de parámetros de una aplicación con el objetivo de obtener una salida (output) determinada que no sea la habitual al funcionamiento del sistema.

Algunas estadísticas afirman que el 90% de todos los sitios web tienen al menos una vulnerabilidad, y el 70% de todas las vulnerabilidades son XSS. A pesar de tratarse de una temática en seguridad algo antigua, aún siguen apareciendo nuevos vectores de ataque y técnicas que hacen que se encuentra en constante evolución.

blog.segu-info.com.ar

Descarga:

http://xsser.sourceforge.net/xsser/XSS_for_fun_and_profit_SCG09.pdf

fuente: blackploit

Google Hacking Database

Bueno nuestros amigos de Exploit-DB an creado esta nueva particion donde publican dorks
para encontrar 0days, bugs, entre otros en aplicaciones webs compruebenlo, es muy util.

Aqui el Enlace

http://www.exploit-db.com/google-dorks/