Manipulations Web et Mail

L'objectif de cette partie est de mettre en oeuvre différentes techniques de suivi des utilisateurs et de récupération d'informations

Mise en place de Phishing

Le Phishing [1] consiste à usurper une identité afin de récupérer de l'information auprès d'utilisateurs. Pour réaliser cela, différentes étapes sont nécessaires :

1. Réalisation d'un mail
   • Rédiger un mail en HTML en reprenant un mail envoyé par un service ou utilisateur de l'école
   • Insérer une image vide (1px*1px) dont l'URL pointe sur une page PHP afin de mettre à jour une table des utilisateurs ayant lus le mail
   • Envoyer le mail en modifiant le nom de l'émetteur
2. Réalisation d'un site web de récupération du login
   • Copier une page web d'identification de l'école (par exemple portail.polytech-lille.fr)
   • Modifier la page HTML afin que le mot de passe ne soit pas envoyé (nous faisons du phishing éthique, seul le nom de l'utilisateur nous intéresse)
   • Réaliser une page PHP permettant de récupérer le login de l'utilisateur. Si l'utilisateur de Polytech existe, vous afficherez une page indiquant qu'il vient d'être victime d'une tentative de phishing. Si l'utilisateur n'existe pas, vous affichez un message d'erreur indiquant que le couple Login/mot de passe est faux
3. Affichage des résultats
   • Réalisez un petit site web indiquant le nombre de mail envoyé, le nombre de mail lu et la liste des utilisateurs à avoir entrer leur login.

Man in the Midlle

L'objectif du Man in the Middle que vous allez mettre en place consiste à intercepter des requêtes vers certains site web et les rediriger afin de récupérer les logins des utilisateurs.

1. ARP spoofing
   • installation des paquetages dsniff et arpspoof
2. Redirection
   • installation d'un mandataire web implicite sur la machine pirate (redirection port 80 sur 127.0.0.1:3128 par iptables)
   • squidGard pour rediriger l'URL cible sur le serveur apache2 local avec une copie du site original