LabEx
로그인무료 가입

Fluxion 을 위한 사용자 지정 HTML 로그인 페이지 생성

Beginner
지금 연습하기

소개

Fluxion 은 강력한 보안 감사 및 소셜 엔지니어링 연구 도구입니다. 가장 잘 알려진 기능 중 하나는 가짜 Wi-Fi 액세스 포인트와 로그인 페이지를 생성하여 자격 증명을 캡처하는 Captive Portal 공격입니다. Fluxion 에는 여러 개의 미리 빌드된 로그인 페이지가 포함되어 있지만, 사용자 지정 페이지를 만들면 소셜 엔지니어링 시도를 훨씬 더 설득력 있고 특정 대상에 맞게 조정할 수 있습니다.

이 실험실에서는 사용자 지정 HTML 로그인 페이지를 만들고 Fluxion 에 통합하는 단계별 프로세스를 배우게 됩니다. Fluxion 의 디렉터리 구조를 탐색하고, 새 사이트를 생성하고, 기본 HTML 로그인 양식을 작성하고, Fluxion 백엔드와 올바르게 통신하는지 확인할 것입니다.

'attacks/Captive Portal/sites'로 이동

이 단계에서는 Fluxion 이 자체적인 Captive Portal 템플릿을 저장하는 디렉터리로 이동합니다. 이 디렉터리 구조를 이해하는 것이 자신만의 사용자 지정 페이지를 추가하는 첫 번째 단계입니다. 모든 작업은 ~/project 디렉터리에서 시작됩니다.

먼저, 설정 과정에서 복제된 fluxion 디렉터리로 이동합니다.

cd ~/project/fluxion

이제 디렉터리 구조를 더 깊이 탐색하여 Captive Portal 사이트를 찾습니다.

cd attacks/Captive\ Portal/sites/

디렉터리 이름 Captive Portal에 있는 공백을 이스케이프하기 위해 백슬래시 \를 사용하는 것에 유의하십시오.

마지막으로, 이 디렉터리의 내용을 나열하여 기존의 포털 템플릿을 확인합니다. 이를 통해 템플릿이 어떻게 구성되어 있는지 파악할 수 있습니다.

ls -l

각각 다른 로그인 페이지 템플릿을 나타내는 디렉터리 목록이 표시될 것입니다.

total 80
drwxr-xr-x 2 labex labex 4096 Dec 12 12:00 ASUS_dark_desktop
drwxr-xr-x 2 labex labex 4096 Dec 12 12:00 Brand_Generic_Alternative_Login_EN
drwxr-xr-x 2 labex labex 4096 Dec 12 12:00 Brand_Generic_Login_EN
drwxr-xr-x 2 labex labex 4096 Dec 12 12:00 D-Link_EN
drwxr-xr-x 2 labex labex 4096 Dec 12 12:00 Linksys_EN
... (및 기타 여러 항목)

이제 자신만의 포털을 생성할 올바른 위치에 있습니다.

사용자 지정 포털을 위한 새 디렉터리 생성

이 단계에서는 새 사용자 지정 포털을 위한 전용 디렉터리를 생성합니다. Fluxion 은 sites 폴더 내에서 디렉터리를 스캔하여 사용 가능한 포털을 식별합니다. 각 디렉터리는 유효한 포털로 인식되기 위해 index.html 파일을 포함해야 합니다.

현재 위치 (~/project/fluxion/attacks/Captive Portal/sites/) 에서 mkdir 명령을 사용하여 새 디렉터리를 생성합니다. MyCustomPortal이라고 이름을 지정하겠습니다.

mkdir MyCustomPortal

디렉터리를 생성한 후 sites 디렉터리의 내용을 다시 나열하여 해당 디렉터리가 존재하는지 확인할 수 있습니다.

ls

다른 포털 디렉터리 중에서 MyCustomPortal을 볼 수 있습니다.

ASUS_dark_desktop
Brand_Generic_Alternative_Login_EN
Brand_Generic_Login_EN
...
MyCustomPortal
...

이 새 디렉터리에는 메인 index.html 파일을 시작으로 사용자 지정 로그인 페이지의 모든 파일이 포함됩니다.

로그인 폼이 포함된 'index.html' 파일 생성

이 단계에서는 포털의 핵심 파일인 index.html을 생성합니다. 이 파일에는 사용자에게 표시될 간단한 로그인 폼의 HTML 구조가 포함됩니다.

먼저 새로 생성한 디렉터리로 이동합니다.

cd MyCustomPortal

이제 nano 텍스트 편집기를 사용하여 index.html 파일을 생성하고 편집합니다.

nano index.html

nano 편집기 안에 다음의 기본 HTML 코드를 붙여넣습니다. 이 코드는 제목, 헤더, 그리고 비밀번호 필드와 제출 버튼이 있는 폼을 포함하는 간단한 페이지를 생성합니다.

<!DOCTYPE html>
<html>
  <head>
    <title>Network Login</title>
  </head>
  <body>
    <h1>Please log in to continue</h1>
    <form>
      <p>Password:</p>
      <input type="password" name="pass" />
      <br /><br />
      <input type="submit" value="Login" />
    </form>
  </body>
</html>

코드를 붙여넣은 후, Ctrl+X를 누르고, Y를 누른 다음, Enter를 눌러 파일을 저장하고 nano를 종료합니다.

이제 로그인 페이지의 시각적인 부분을 생성했습니다. 다음 단계에서는 캡처된 데이터를 Fluxion 으로 올바르게 전송하도록 구성할 것입니다.

폼이 '/login'으로 POST 하도록 설정하기

이 단계에서는 폼이 Fluxion 백엔드와 올바르게 통신하도록 HTML 폼을 수정합니다. Fluxion 이 자격 증명을 가로채려면 폼은 특정 메서드 (POST) 를 사용하여 특정 경로 (/login) 로 데이터를 제출해야 합니다.

nano를 사용하여 index.html 파일을 다시 엽니다.

nano index.html

<form> 태그를 찾습니다. 여기에 method="POST"와 action="/login"이라는 두 가지 속성을 추가해야 합니다. method="POST" 속성은 브라우저에게 HTTP 요청 본문에 폼 데이터를 보내도록 지시하고, action="/login"은 데이터가 전송되어야 할 엔드포인트를 지정합니다. Fluxion 의 웹 서버는 이 엔드포인트에서 수신 대기하여 자격 증명을 캡처합니다.

index.html 파일을 다음과 같이 수정합니다.

<!DOCTYPE html>
<html>
  <head>
    <title>Network Login</title>
  </head>
  <body>
    <h1>Please log in to continue</h1>
    <form method="POST" action="/login">
      <p>Password:</p>
      <input type="password" name="pass" />
      <br /><br />
      <input type="submit" value="Login" />
    </form>
  </body>
</html>

<form> 태그의 변경 사항을 확인합니다. 입력 필드의 name="pass" 속성도 중요한데, 이는 Fluxion 이 제출된 비밀번호를 식별하는 데 사용하는 키이기 때문입니다.

파일을 저장하고 nano를 종료합니다 (Ctrl+X, Y, Enter). 이제 사용자 지정 포털의 기능적인 부분이 완성되었으며 Fluxion 에서 사용할 준비가 되었습니다.

Fluxion 재실행 및 사용자 지정 포털 선택

마지막 단계에서는 Fluxion 을 실행하여 새로 생성한 사용자 지정 포털을 인식하는지 확인합니다.

먼저 메인 fluxion 디렉터리로 돌아갑니다.

cd ~/project/fluxion

이제 sudo 권한으로 메인 Fluxion 스크립트를 실행합니다. 네트워크 작업을 위해서는 관리자 권한이 필요합니다.

sudo ./fluxion.sh

처음 실행 시 Fluxion 은 종속성 검사를 수행할 수 있습니다. 누락된 도구를 설치하라는 메시지가 표시되면 Enter를 눌러 진행합니다. 검사가 완료되면 메인 메뉴가 표시됩니다.

  1. 언어를 선택합니다 (예: 영어의 경우 1 입력).
  2. 공격 메뉴에서 Captive Portal을 선택합니다.

그러면 Fluxion 이 attacks/Captive Portal/sites/ 디렉터리를 스캔하고 사용 가능한 포털 목록을 표시합니다. 이 목록을 스크롤하면 MyCustomPortal이 옵션 중 하나로 표시되는 것을 볼 수 있습니다.

선택하여 작동하는지 확인할 수 있습니다. 이는 물리적 무선 카드 없이 가상 환경이므로 공격을 완료할 수는 없지만, 포털이 목록에 표시되는 것을 보면 성공적으로 통합되었음을 확인할 수 있습니다.

언제든지 Ctrl+C를 눌러 Fluxion 을 종료할 수 있습니다.

요약

축하합니다! Fluxion 에 사용자 지정 HTML 로그인 페이지를 성공적으로 생성하고 통합했습니다.

이 실습에서는 다음을 배웠습니다.

  • Fluxion 의 내부 디렉터리 구조를 탐색하여 캡티브 포털 사이트를 찾습니다.
  • 사용자 지정 포털 파일을 저장할 새 디렉터리를 생성합니다.
  • 로그인 폼이 포함된 기본 index.html 파일을 작성합니다.
  • 폼을 /login 엔드포인트로 데이터를 POST하도록 중요하게 구성하여 Fluxion 이 자격 증명을 캡처할 수 있도록 합니다.
  • Fluxion 을 실행하고 사용자 지정 포털이 인식되어 캡티브 포털 공격에 사용할 수 있는지 확인합니다.

이 기술을 통해 보안 평가를 위한 훨씬 더 표적화되고 신뢰할 수 있는 로그인 페이지를 만들 수 있으며, 소셜 엔지니어링 활동의 잠재적 효과를 크게 높일 수 있습니다. CSS 를 사용하여 스타일을 지정하고 JavaScript 를 사용하여 동적 콘텐츠를 추가하여 페이지를 더욱 향상시킬 수 있습니다.