github 开源社工库工具

GitHub 上有许多开源的社工（社会工程学）工具，它们可以帮助安全研究人员模拟攻击、测试企业的安全防护能力，或帮助发现潜在的社工漏洞。社工通常是指通过操纵人类行为来获取敏感信息或者获得访问权限。这些工具主要用于模拟社交工程攻击，如钓鱼邮件、社交媒体分析、伪装与假冒等。

以下是一些比较著名的开源社工库工具：

1. Social-Engineer Toolkit (SET)

• 简介：SET 是一个非常流行的社工攻击框架，专门用于模拟社会工程学攻击。它提供了多种攻击向量，包括钓鱼攻击、网站伪装、USB攻击等。
• 主要功能：
  • 钓鱼攻击（Phishing）: 模拟钓鱼邮件、网站
  • 网络钓鱼攻击：通过模拟登录页面进行密码抓取
  • 社交媒体攻击：可以伪造某些社交媒体页面
  • USB Rubber Ducky：利用USB设备进行社会工程学攻击
• 优缺点：
  • 优点：功能强大，支持多种攻击方式，易于使用
  • 缺点：有一定的学习曲线，使用时需谨慎避免违法行为
• GitHub 地址：SET GitHub

2. KingPhisher

• 简介：KingPhisher 是一个专门用于执行钓鱼攻击的工具。它支持定制钓鱼邮件、网站，并能够追踪攻击的效果。
• 主要功能：
  • 创建并发送定制的钓鱼邮件
  • 创建伪造的登录页面进行密码抓取
  • 收集和记录用户的响应
• 优缺点：
  • 优点：界面友好，功能专注于钓鱼攻击，易于配置
  • 缺点：较为基础，适合于小规模的钓鱼攻击模拟
• GitHub 地址：KingPhisher GitHub

3. SocialFish

• 简介：SocialFish 是一个用于自动化社交工程学攻击的框架，主要集中在钓鱼攻击上。它支持不同的钓鱼方式，包括电子邮件和网页钓鱼。
• 主要功能：
  • 支持邮件钓鱼攻击（利用SMTP发送邮件）
  • 支持多种钓鱼网页模板，可以伪装为常见的登录页面
  • 实时跟踪钓鱼攻击结果，记录目标用户的输入
• 优缺点：
  • 优点：开源、易于部署、支持多种攻击方法
  • 缺点：不适合非常复杂的攻击场景，功能相对简单
• GitHub 地址：SocialFish GitHub

4. Evilginx2

• 简介：Evilginx2 是一个高级的中间人攻击（MITM）工具，专门用于实施钓鱼攻击。它可以拦截并窃取受害者的认证令牌，从而绕过多重身份验证。
• 主要功能：
  • 实施高效的中间人钓鱼攻击，拦截目标的认证信息
  • 支持 Gmail、Facebook、Twitter 等多种平台
  • 支持多因素认证绕过
• 优缺点：
  • 优点：非常适合针对有多重认证保护的网站
  • 缺点：使用较为复杂，且对网络和服务器要求较高
• GitHub 地址：Evilginx2 GitHub

5. Phishing Frenzy

• 简介：Phishing Frenzy 是一个用于钓鱼攻击的框架，允许用户快速创建、配置并管理钓鱼活动。它支持大规模钓鱼活动的管理。
• 主要功能：
  • 创建钓鱼邮件并发送
  • 托管钓鱼页面，并记录受害者的行为
  • 可自定义钓鱼邮件模板和登录页面
• 优缺点：
  • 优点：易于使用，可以管理多次攻击和结果
  • 缺点：不支持复杂的社交工程学攻击，主要专注于钓鱼攻击
• GitHub 地址：Phishing Frenzy GitHub

6. Pwndrop

• 简介：Pwndrop 是一个由开发者设计的伪装钓鱼网站生成工具，可以通过简单的配置生成不同风格的钓鱼网站，常用于收集用户输入。
• 主要功能：
  • 创建伪装网站并收集用户输入
  • 支持个性化定制钓鱼页面，支持抓取各种社交平台的认证信息
  • 支持通过域名劫持来执行攻击
• 优缺点：
  • 优点：工具轻便，易于快速设置
  • 缺点：攻击方式较为简单，适合初学者
• GitHub 地址：Pwndrop GitHub

7. Creepy

• 简介：Creepy 是一个可以帮助你收集社交媒体信息的工具。它通过收集公开的社交媒体和地理位置信息，可以帮助渗透测试者了解目标的社交活动。
• 主要功能：
  • 收集目标在社交网络中的位置数据
  • 自动化分析目标在社交媒体上的行为
  • 生成目标的位置信息地图
• 优缺点：
  • 优点：帮助渗透测试人员获取更多目标信息
  • 缺点：对于某些目标，社交媒体的隐私设置可能会限制数据的收集
• GitHub 地址：Creepy GitHub

8. Maltego

• 简介：Maltego 是一个强大的开源情报收集工具，虽然它并不完全是社工工具，但它可帮助收集大量社交工程学攻击所需的信息。
• 主要功能：
  • 网络分析，帮助了解目标的结构、社交网络和连接
  • 通过图形化界面显示各种实体之间的关系
  • 数据收集包括DNS、IP、社交媒体等
• 优缺点：
  • 优点：功能强大，能够收集多种类型的信息
  • 缺点：工具较为复杂，专业版有较高费用
• GitHub 地址：Maltego GitHub

总结：

这些工具能够帮助安全专业人员模拟社交工程学攻击，识别潜在的安全漏洞。然而，使用这些工具进行攻击时，必须确保其用途符合当地的法律和道德标准。它们非常适合渗透测试、蓝队防御训练以及企业内部安全审查。

如果你有兴趣深入了解某个工具，或者需要更多具体的使用说明，可以继续告诉我！