Способы взлома Instagram

  • Автор темы cracker92
  • Дата начала
  • Просмотров 9656 Просмотров

cracker92

Местный
372
128
22 Июн 2019
Рассказываю о всех возможных способах. Погнали!

Способ 1. Фишинг
Злобный брат-близнец
99b41d534879b37a5fc77.jpg

Вот так выглядит страница авторизации через ПК. Не идеально, есть небольшие недочеты, которые начинают бросаться в глаза лишь после целенаправленного сравнения с оригиналом. Думаю, далеко не каждый заметит разницу, особенно если открывать сайт с мобильных устройств.

58fd31918e29662fa40cc.jpg

На яблоке сайт действительно крайне похож на оригинал, скрин которого ниже.

c28ec91994022c16fd24e.jpg

Ладно. Суть достаточного сходства я донес. Возникает вопрос - куда будут приходить логин и пароль жертвы? В горячо любимый телеграмчик, а именно, в бота.

09fc3075320bda421c8ec.jpg

Приятно, что перед отправкой боту логин и пароль проверяются. Если первое или второе не верно (не получается авторизовать пользователя), то жертва получает сообщение о некорректности.

5c97f8fa60615705be5cf.png

С функционалом думаю понятно.

Техническая часть
Так, для начала давайте определимся с тем, что нам необходимо, чтобы все это корректно работало.

Логично, что в первую очередь стоит позаботиться о домене и хостинге. Про то, как заливать сайты на хостинг вам расскажет Google.

Детальнее остановимся на домене. Фишинг сам по себе от начала и до конца построен на захвате доверия жертвы (а это в чистом виде СИ). Вопросы манипуляций тут затрагивать я не буду, опишу лишь минимально необходимое для отработки сценария "Зайди в инсту подруги и поройся в ее грязном белье".

Согласитесь, даже самая упоротая блондинка заметит подвох, если ей скинуть ссылку вроде Для просмотра ссылки Войди или Зарегистрируйся и сказать, что это инстаграм. Поэтому заходим на любой сайт для проверки занятых доменов и ищем то, что меньше всего отличается от оригинала.

59a6494feb6dc0406d4e0.png

Допустим, вы подобрали что-то подходящее, залили файлы на хостинг, привязали домен. Сайт полностью функционирует и готов разрушать отношения неожиданными открытиями. Переходим к следующему пункту.

Фишинг в большинстве случаев подразумевает контакт в жертвой. Так, как мы рассматриваем взлом вашей подруги, то, предположим, что у нее уже есть к вам определенная степень доверия. В таком случае, можно воспользоваться просто замечательной локальной фичей ТГ - маскировка ссылок в слова.

60c2df80aa7ee154b52eb.png

При нажатии будет перекидывать на фишинг
Предлогом для того, чтобы она авторизовалась может послужить банальное:

Привет. Я чет не могу зайти в [замаскированная ссылка] через браузер. У тебя тоже не работает? Срочно надо ответить в директе, а тут такая беда...

Если у вас хорошо работает воображение, то вы точно придумаете повод, для авторизации по вашей ссылке.

Хорошо. Подруга повелась и слила лог:пас, но как теперь его принять? Как я писал выше, получение чувствительных данных реализовано при помощи бота в тг. Я бы был не я, не продемонстрируй, как его создать и подключить к фишингу.

Создание и настройка бота
1) Идем к отцу всех ботов - Для просмотра ссылки Войди или Зарегистрируйся и слезно просим его создать сыночка, отправляя:

/newbot

2) Придумываем название боту. У меня это vzlom podrugi.

3) Прописываем нашему боту линк. Мой выбор пал, как вы уже, наверное, поняли на vzlompodrugi_bot (приписка _bot обязательна).

В итоге общение с "отцом" выглядит так:

b006d02eaa0757ed30f06.jpg

Токен я замазал от греха подальше
4) Копируем токен - то, что я замазал на скриншоте и идем в файлы фишинга. Нас будет интересовать содержимое файла, который я выделил на скрине ниже.

66481d2147e406bcb4549.png

5) Вставляем в поле 'token', то, что вы получили от отца ботов (токен, как не странно).

62d05d293475d3e00eb6b.png

Токен должен находиться в одинарных ковычках (ну а кто вас знает, вдруг решите и их удалить)
6) Возвращаемся к отцу ботов, жмякаем на линк своего бота и запускаем его командой:

/start

87b296524c91ff235aecd.jpg

1df21b154a34add18ccf1.png

Профит! Теперь логи будут приходить прямиком к нему. Только помните, что сначала нужно все настроить, а только потом уже пытаться наебать свою подружку.

Cпособ 2. Bruteforce
Метод перебора пароля
Instashell - это скрипт для выполнения брутфорс атак на сервис Instagram, скрипт может обойти ограничения на перебор паролей, поэтому он может тестировать бесконечное количество паролей.

121802bd3e25b0695dfc5.png

Скрипт использует Android ApkSignature для выполнения аутентификации, дополнительно используется TOR для изменения IP-адреса после блокировки, для продолжения атаки.

Устанавливем компоненты Tor:
apt-get update
apt-get install tor

Установка Instashell в Kali Linux (версия на английском):
git clone Для просмотра ссылки Войди или Зарегистрируйся
cd instashell
chmod +x instashell.sh



Специальная, русифицированная версия!
git clone Для просмотра ссылки Войди или Зарегистрируйся
cd instashell
chmod +x instashell.sh


Запуск и использование:
./instashell.sh
service tor start

23e020f2485df02a1cd04.png

Для запуска перебора необходимо указать имя аккаунта на сервисе и словарь, по умолчанию используется словарь Instashell, его можно дополнить или заменить (как у нас на скрине)

Скрипт успешно отрабатывает, предоставляя валидный пароль от аккаунта.

В системе обязательно должен быть установлен TOR!

А с телефона можно? Можно!
Реализация способа 2 со смартфона
aaa58bcc-64c1-4657-b595-607c7c3935f1.png

Для начала нам понадобится установить и запуститьДля просмотра ссылки Войди или Зарегистрируйся. Наш инструмент называется IGHACK. Приступим к его установке:

Обновляем пакеты:

apt update

apt upgrade

Скачиваем Python:

pkg install python -y

Скачиваем Python2:

pkg install python2 -y

Скачиваем гит:

pkg install git -y

Клонируем репозиторий:

git clone Для просмотра ссылки Войди или Зарегистрируйся

Открываем инструмент:

cd $HOME

ls

cd ighack

ls

bash setup

bash ighack.sh

Перед нами открывается 5 опций:

auto attack - автоматическая брутфорс атака, с паролями по умолчанию

manual attack - брутфорс атака вручную, с вашим листом паролей

about - описание утилиты

update - обновление (рекомендую выбрать перед запуском)

exit - выход из инструмента