Asignatura Datos del alumno Fecha

Apellidos: Abraham Charur

Análisis de
26/Nov/2019
Vulnerabilidades
Nombre: Jose Luis

Actividades

Actividad: Realizar un ataque de phising

En esta actividad se deben explicar los pasos para realizar un ataque de phishing con la
distribución de Kali desde una máquina virtual a un ordenador con Windows. Se debe
efectuar el ataque realizando la clonación de la página web de Facebook, utilizando las
herramientas SET y Metasploit para cargar un Java Applet en un ordenador con
Windows.

Se valorará que se incluyan imágenes (como capturas de pantalla) y se ponga el nombre

del alumno en ellas (para confirmar su autoría).

Extensión máxima: 15 páginas (Georgia 11 e interlineado 1,5).

TEMA 1 – Actividades © Universidad Internacional de La Rioja, S. A. (UNIR)

 Asignatura Datos del alumno Fecha
Apellidos: Abraham Charur
Análisis de
26/Nov/2019
Vulnerabilidades
Nombre: Jose Luis

Table of Contents
Introduccion ........................................................................................................... 3

Ataque de Pishing ................................................................................................... 3

SET ................................................................................................................. 3

Java Applet Attack ................................................................................ 3

Credential Harvester Attack Method .................................................. 11

CONCLUSIONES ................................................................................................. 13

BIOGRAFIA .......................................................................................................... 13

TEMA 1 – Actividades © Universidad Internacional de La Rioja, S. A. (UNIR)

 Asignatura Datos del alumno Fecha
Apellidos: Abraham Charur
Análisis de
26/Nov/2019
Vulnerabilidades
Nombre: Jose Luis

Introduccion
El “Phishing” es una técnica muy común utilizada para enviar correos electrónicos a
diferentes usuarios simulando que provienen de fuentes confiables, con el objetivo de
obtener información de “Usuarios y Contraseñas”

Ataque de Pishing

Para esta actividad se va a realizar usando la herramienta de SET (Social Engineering

Tool) y Metasploid con la que cuenta con la Herramienta de Kali. Actualmente se esta
usando la distribución Kali Linux 2019.3.

SET

Java Applet Attack

1. Dentro de la Kali, abrimos una terminal

TEMA 1 – Actividades © Universidad Internacional de La Rioja, S. A. (UNIR)

 Asignatura Datos del alumno Fecha
Apellidos: Abraham Charur
Análisis de
26/Nov/2019
Vulnerabilidades
Nombre: Jose Luis

2. Tecleamos setoolkit

3. Oprimimos 1 (Social Engineering ToolKit)

4. Oprimimos 1 ( Java Applet Method)

TEMA 1 – Actividades © Universidad Internacional de La Rioja, S. A. (UNIR)

 Asignatura Datos del alumno Fecha
Apellidos: Abraham Charur
Análisis de
26/Nov/2019
Vulnerabilidades
Nombre: Jose Luis

5. Oprimimos 2 (Site Cloner)

6. Tecleamos que “no” ya que estamos usando una red Local

7. Seleccionamos la IP de la maquina atacante, ya lo maneja por default

TEMA 1 – Actividades © Universidad Internacional de La Rioja, S. A. (UNIR)

 Asignatura Datos del alumno Fecha
Apellidos: Abraham Charur
Análisis de
26/Nov/2019
Vulnerabilidades
Nombre: Jose Luis

8. Tecleamos la opcion 2, que genere el certificado de Java

9. Tecleamos la pagina a Clonar, en este caso es Facebook

TEMA 1 – Actividades © Universidad Internacional de La Rioja, S. A. (UNIR)

 Asignatura Datos del alumno Fecha
Apellidos: Abraham Charur
Análisis de
26/Nov/2019
Vulnerabilidades
Nombre: Jose Luis

10. Seleccionamos el Metodo de Injeccion, en este caso dejar el default,

(1)

11. El puerto de escucha, normalmente es por default, en este caso el

443

TEMA 1 – Actividades © Universidad Internacional de La Rioja, S. A. (UNIR)

 Asignatura Datos del alumno Fecha
Apellidos: Abraham Charur
Análisis de
26/Nov/2019
Vulnerabilidades
Nombre: Jose Luis

12. Teclear 1, en el metodo de injeccion

En este último paso, debió levantar la consola MetaSploid, pero como no lo

hizo por alguna razón, lo vamos a Ejecutar Manualmente

TEMA 1 – Actividades © Universidad Internacional de La Rioja, S. A. (UNIR)

 Asignatura Datos del alumno Fecha
Apellidos: Abraham Charur
Análisis de
26/Nov/2019
Vulnerabilidades
Nombre: Jose Luis

13. Levantar Metasploid y capturar los siguientes parametros, son los

mismos parametros que se ejecutaron con el SET,

14. Levantar Metasploid y correr los comandos anteriores

Como se puede notar, el metaexploid ya genero un Reverse TCP Hander

TEMA 1 – Actividades © Universidad Internacional de La Rioja, S. A. (UNIR)

 Asignatura Datos del alumno Fecha
Apellidos: Abraham Charur
Análisis de
26/Nov/2019
Vulnerabilidades
Nombre: Jose Luis

15. Ahora nos vamos a la PC Victima, corremos internet explorer, y

ponemos en el navegador la IP del atacante.

Nos mandará un Aviso de Seguridad de Java, para este caso le

oprimimos que lo acepte
16. Regresamos a la PC Atacante y validamos que podamos tomar
control, sessions -i (# de session), shell,

TEMA 1 – Actividades © Universidad Internacional de La Rioja, S. A. (UNIR)

 Asignatura Datos del alumno Fecha
Apellidos: Abraham Charur
Análisis de
26/Nov/2019
Vulnerabilidades
Nombre: Jose Luis

17. Ya validando que tenemos control de la maquina, vamos a mandar

un shutdown ( shutdown -s) y validamos en la PC Victima

Como se puede ver, tomamos el control de la maquina, con eso

podemos ya hacer muchas cosas,

Credential Harvester Attack Method

1. Comenzar del Paso 1 al Paso 3, de la sección anterior
2. Seleccionar Numero 3 ( Credential Harvester Attack Method)

TEMA 1 – Actividades © Universidad Internacional de La Rioja, S. A. (UNIR)

 Asignatura Datos del alumno Fecha
Apellidos: Abraham Charur
Análisis de
26/Nov/2019
Vulnerabilidades
Nombre: Jose Luis

3. Seguimos los mismos pasos, Site Cloner, IP Address, con esto ya se

queda escuchando la PC de la Victima.

4. Vamos a la PC de la Victima, Abrimos el Internet Explorer y

tecleamos la IP de la PC atacante. Tecleamos el usuario, Password,
como si estuvieramos entrando a Facebook

TEMA 1 – Actividades © Universidad Internacional de La Rioja, S. A. (UNIR)

 Asignatura Datos del alumno Fecha
Apellidos: Abraham Charur
Análisis de
26/Nov/2019
Vulnerabilidades
Nombre: Jose Luis

5. regresamos a la PC Atacante y como podemos ver ya se capturaron la

informacion de usuario y password. Toda la información se graba en
un archivo “/var/www/html/

CONCLUSIONES
Resulta muy sencillo realizar ciertos ataques con las herramientas
que se encuentran en el mercado y que son en este caso Libres. Creo que
dentro de una organización se deberá tener cuidado en ejecutar estas
herramientas por que podrían impactar severamente a la organización.

BIOGRAFIA
https://underc0de.org/foro/hacking/hackeando-facebook-
con-set-ettercap/ (Recuperado 2019)

TEMA 1 – Actividades © Universidad Internacional de La Rioja, S. A. (UNIR)