ShellPhish 社交工程演練：釣魚網站原理、辨識技巧與防禦方式
注意：本文為社交工程演練與資安意識教育用途，所有操作都在私有網路的虛擬機中進行。未經授權架設釣魚網站蒐集他人帳密屬於違法行為，請勿用於真實對象。
社交工程技術用於從個人或組織收集敏感信息，以進行欺詐或進行其他犯罪活動。
(精選圖片的截圖為使用虛擬機且在私有 IP 底下用於練習使用!)
任務目標
作為滲透測試人員，您應該使用各種社交工程工具來審視組織的安全性與員工資安意識。
您將使用社群軟體嘗試讓使用者洩漏個人訊息，在真實情境中，攻擊者可能會使用這些訊息來進一步的對目標發起攻擊。
使用工具
ShellPhish v1.7
作者：github.com/thelinuxchoice
載點：https://github.com/stwater20/shellphish
簡介：可以產生Instagram、Facebook、Twitter等常用社群網站的「假」網站，引誘目標登入帳戶以竊取個人訊息。
攻擊環境
OS：Kali 2021.04
滲透目標：Win10
進行演練
Step 1. 開啟 Terminal 下載 shellphish 工具。
git clone https://github.com/stwater20/shellphish
Step 2. 切換到shellphish目錄，並設定 shellphish.sh 能夠執行的權限。
cd shellphish
chmod +x ./shellphish.sh
Step 3. 執行 shellphish.sh 。
./shellphish.sh
Step 4. 根據目標對象選擇成功率最高的社群平台，工具就會建置 ngrok 並搭建網站伺服器。
Step 5. 透過任何方式將網址傳送給目標，目標點擊後，即收到受害者IP。
Step 6. 最後，待目標登入，成功取得帳號密碼。
討論
乍看之下，網址非常容易被識破，但您是否想過，Email的超連結是能夠用文字去隱藏真實連結的，社交工程的問題，值得省思!
免責聲明
未經事先雙方同意，使用Shellphish攻擊目標是非法的。請遵守當地法律規範。開發者與本作者對此工具不承擔任何責任，也不對任何濫用或損壞負責。
如何辨識釣魚網站？
- 看網址，不要只看畫面：釣魚頁面可以做得和真的一模一樣，但網域名稱騙不了人，注意拼字相近或多了奇怪的子網域
- 小心「點連結登入」：從訊息或信件點進來要求登入時，改成自己手動輸入官方網址或用書籤
- 有 HTTPS 鎖頭不代表安全：釣魚網站一樣可以申請免費憑證
- 急迫感是警訊：「帳號即將停用」「限時領獎」都是常見話術
組織該怎麼防禦？
- 開啟兩步驟驗證或 Passkey：Passkey 會綁定網域，即使使用者被騙到釣魚頁面也無法使用
- 定期社交工程演練：搭配教育訓練，追蹤點擊率與回報率的變化
- 建立回報管道：讓員工收到可疑信件時能一鍵回報給資安團隊
- 郵件與網頁過濾：設定 SPF、DKIM、DMARC，並封鎖已知的惡意網域