快速上手beef浏览器攻击框架

beef框架简介

BeEF，全称The Browser Exploitation Framework，是一款针对浏览器的渗透测试工具。用Ruby语言开发的，Kali中默认安装的一个模块，用于实现对XSS漏洞的攻击和利用。

BeEF主要是往网页中插入一段名为hook.js的JS脚本代码，如果浏览器访问了有hook.js(钩子)的页面，就会被hook(勾住)，勾连的浏览器会执行初始代码返回一些信息，接着目标主机会每隔一段时间（默认为1秒）就会向BeEF服务器发送一个请求，询问是否有新的代码需要执行。BeEF服务器本质上就像一个Web应用，被分为前端和后端。前端会轮询后端是否有新的数据需要更新，同时前端也可以向后端发送指示， BeEF持有者可以通过浏览器来登录 BeEF 的后端，来控制前端(用户的浏览器)。BeEF一般和XSS漏洞结合使用。

安装（kali环境）

sudo apt-get update                   //由于kali的apt版本不高，直接安装将会导致部分包无法安装上，所以需要先行升级         
sudo apt-get install beef-xss

1、升级apt-get指令
2、安装beef框架

这里安装需要等一小会，期间按着步骤执行即可

安装成功

注意项：

后台控制地址：http:// ==你的ip==:3000/ui/panel (本机运行的话就是http://127.0.0.1:3000/ui/panel)
后台默认账户：beef
后台登录密码：在启动项目时会要求设置

开始

启动程序

sudo beef-xss
在程序启动后，将被要求设置新的密码。账户仍为beef
随后根据提示中的url访问控制台

后台控制地址：http:// ==你的ip==:3000/ui/panel   (本机运行的话就是http://127.0.0.1:3000/ui/panel)

开始行动

说明

将该链接右键保存，然后发给给他人，在其点开链接后，我们的后台将会捕捉到该IP，并且可以控制其浏览器，进行操作！

控制后台界面	受害者界面

作用

在别人打开我们的链接后，我们可以通过控制台来对其进行操作，譬如弹窗、钓鱼、摄像等等

绿色：命令模块对目标起作用，对用户应该是不可见的
橙色：命令模块对目标起作用，但可能对用户可见
灰色：尚未针对此目标验证命令模块
红色：命令模块不适用于此目标

Docker 安装

安装docker

测试环境：Centos7

可以直接 curl -fsSL https://get.docker.com | bash -s docker --mirror Aliyun （Linux都可以这么干）

运行

先拉下来beef，速度很慢的话可以考虑aliyun加速

docker pull janes/beef

运行起来，映射到本机的3000端口

docker run --rm -p 3000:3000 janes/beef

然后打开来控制后台，按前文说明将hook链接发送给他人，在打开页面后，你就可以控制他的浏览器页面了！

http://127.0.0.1:3000/ui/panel/

注意项

默认账户：beef

默认密码：beef

如果是云服务器，请自己到厂商服务器管理后台开启3000端口，如此方可使用