Kliens info

Tegnap egész nap a kliens oldali lekérdezésekkel szórakoztam és kezd fejlődni a dolog. Össze fogok állítani egy komplett információ feltérképező tool-t ami több mindent meg fog mondani az oldalt meglátogató személyről. Ez hasznos lehet bárkinek aki meg szeretne tudni ismerőséről ezt-azt.
Tulajdonképpen csak passzív felderítés, illetve annyiban nem, hogy az illetőt rá kell valahogy venni, hogy a feltérképező oldalra menjen - de ez talán nem olyan nehéz. A tool készletet bárhova fel lehet tenni és aki odamegy,arról összegyűjti az információkat. Persze aki kellően óvatos arról túl sok mindent nem lehet kideríteni, de az átlagos felhasználóról azért igen sokat.

Erről a PET portálon van is egy nagyon jó kis tanulmány.

http://pet-portal.eu/files/articles/2012/boda/Bongeszofuggetlen-rendszerujjlenyomat.pdf




És ebben a könyvben is van nagyon sok hasznos információ ezekről a dolgokról :

http://www.scribd.com/archive/plans?doc=56018172

Mivel a felhasználók (átlag felhasználókról beszálünk) 90%-nál vagy a Java vagy a flash engedélyezve van ezért Java-s és flash-es változatot fogok készíteni. (meg persze amit lehet azt php-val és javascript-el fogom összeszedni) Például lekérdezehető lesz, hogy a célszemély privát böngészőt használ-e vagy sem. Ha nem, akkor pedig lekérdezhető lesz, hogy bizonyos helyeket vajon gyakran látogat-e. (Társkereső és egyéb olyan helyek lesznek összegyűjtve, amik érdekelhetik a partnert) Persze a lista szabadon bővíthető.(Erre a browser history - előzmények - lekérdezésére a CSS helyett van egy másik módszer - cache timer - ami egyelőre kiiktathatatlan - inkább feature, mint hiba - ezért valószínű, hogy ez a lekérdezés még egy jó ideig használható lesz.)

Aztán a phishing támadáshoz is fogok készíteni egy tool-t amiben e-mail template-k lesznek, és videóban szépen lépésről lépésre meg lesz mutatva, hogy mit kell csinálni, hogy működjön is a dolog.
Ez főleg azoknak készül, akik nem igen értenek a számítógéphez és nem akarnak jelszótörő programokkal bíbelődni. Persze van akinél ez a phishing módszer nem működik, ott továbbra is a többi más módszerrel lehet próbálkozni, de megvalósítását tekintve ez igényel a legkevesebb felkészültséget és gyakorlatilag szinte bárki meg tudja csinálni aki alap szinten tudja kezelni a saját gépét. (És ebben még az is a jó, hogy akármekkora távolságból is működik és nem kell különösebb hozzáférés a másik gépéhez)