快速上手beef浏览器攻击框架

快速上手beef浏览器攻击框架

Scroll Down

beef框架简介

BeEF,全称The Browser Exploitation Framework,是一款针对浏览器的渗透测试工具。 用Ruby语言开发的,Kali中默认安装的一个模块,用于实现对XSS漏洞的攻击和利用。

BeEF主要是往网页中插入一段名为hook.js的JS脚本代码,如果浏览器访问了有hook.js(钩子)的页面,就会被hook(勾住),勾连的浏览器会执行初始代码返回一些信息,接着目标主机会每隔一段时间(默认为1秒)就会向BeEF服务器发送一个请求,询问是否有新的代码需要执行。BeEF服务器本质上就像一个Web应用,被分为前端和后端。前端会轮询后端是否有新的数据需要更新,同时前端也可以向后端发送指示, BeEF持有者可以通过浏览器来登录 BeEF 的后端,来控制前端(用户的浏览器)。BeEF一般和XSS漏洞结合使用。

安装(kali环境)

sudo apt-get update                   //由于kali的apt版本不高,直接安装将会导致部分包无法安装上,所以需要先行升级         
sudo apt-get install beef-xss         
1、升级apt-get指令image-20220224174819788
2、安装beef框架image-20220224173849469

这里安装需要等一小会,期间按着步骤执行即可

安装成功image-20220224174606903

注意项:

  • 后台控制地址:http:// ==你的ip==:3000/ui/panel (本机运行的话就是http://127.0.0.1:3000/ui/panel)
  • 后台默认账户:beef
  • 后台登录密码:在启动项目时会要求设置

开始

启动程序

sudo beef-xss
在程序启动后,将被要求设置新的密码。账户仍为beef
随后根据提示中的url访问控制台
image-20220224181400539
后台控制地址:http:// ==你的ip==:3000/ui/panel   (本机运行的话就是http://127.0.0.1:3000/ui/panel)
image-20220224182630601

开始行动

image-20220224190341742

说明

将该链接右键保存,然后发给给他人,在其点开链接后,我们的后台将会捕捉到该IP,并且可以控制其浏览器,进行操作!

控制后台界面受害者界面
image-20220224193402680image-20220224193225915

作用

在别人打开我们的链接后,我们可以通过控制台来对其进行操作,譬如弹窗、钓鱼摄像等等

  • 绿色:命令模块对目标起作用,对用户应该是不可见的
  • 橙色:命令模块对目标起作用,但可能对用户可见
  • 灰色:尚未针对此目标验证命令模块
  • 红色:命令模块不适用于此目标

Docker 安装

安装docker

测试环境:Centos7

可以直接 curl -fsSL https://get.docker.com | bash -s docker --mirror Aliyun (Linux都可以这么干)

运行

先拉下来beef,速度很慢的话可以考虑aliyun加速

docker pull janes/beef

运行起来,映射到本机的3000端口

docker run --rm -p 3000:3000 janes/beef

然后打开来控制后台,按前文说明将hook链接发送给他人,在打开页面后,你就可以控制他的浏览器页面了!

http://127.0.0.1:3000/ui/panel/

注意项

默认账户:beef

默认密码:beef

如果是云服务器,请自己到厂商服务器管理后台开启3000端口,如此方可使用