DOMANDA Creazione pagina di FINTO Phishing

[tziu]

Salve a tutti, sono un futuro educatore e ho intenzione di realizzare una pagina di FINTO phishing, con lo scopo di mettere in guardia i ragazzi contro questo tipo di minaccia. "Finto" perché non voglio registrare alcuna informazione sensibile. Mi spiego meglio: io mando ad un gruppo di ragazzi (che mi conoscono e si fidano di me, in modo da far capire che le minacce arrivano da chiunque, magari inconsapevolmente) il link di questa pagina, dicendo, con un messaggio standard e vago, che ci sono nostre foto. Nella pagina verrà chiesto loro di rieseguire il log-in con le credenziali di Facebook. Coloro che ci cascheranno otterrano solo un messaggio che li ammonisce per aver inserito i loro dati senza coscienza.
Il mio obiettivo è quindi creare una pagina web "accattivante", in cui chi scrive i propri dati riceve un messaggio di avviso per non cascarci più, e allo stesso tempo io possa sapere il numero dei ragazzi che ci hanno creduto. Quindi io vorrei avere solo il CONTATORE di chi ci casca e NON VOGLIO ASSOLUTAMENTE che mi arrivino i loro dati in alcun modo.
E' possibile creare una pagina web del genere? Se sì, come? Ovviamente mi accontento anche di un link ad un'eventuale guida.
Grazie in anticipo a tutti.

 

[qSte98]

Si, si può creare una pagina phishing, ma non ti possiamo dire come e non ti possiamo neanche dare nessun indirizzo, perchè è un reato informatico, creare e divulgare virus, contro virus, worm, come fare attacchi di vario tipo ecc... https://it.wikipedia.org/wiki/Crimine_informatico
Lo capisco che sei un educatore e che vuoi solo mettere in guardia i tuoi alunni, ma non si può fare niente, anche perchè noi non sappiamo se sei un vero educatore o un ragazzo che cerca di prenderci in giro e di ottenere buone informazioni per commettere un reato penale... l'unica cosa che puoi fare è fare un approfondimento su quest'argomento e come evitare di essere vittima del phisihng e di altri tipi di "inganni informatici", e cosa la sicurezza informatica è importate soprattutto rimanere nel safer internet ed avere sempre i vari sistemi di sicurezza (firewall, ids ips ...) SEMPRE aggiornati... Come creare false pagine di siti autorevoli

 

[Hobet]

Salve a tutti, sono un futuro educatore e ho intenzione di realizzare una pagina di FINTO phishing, con lo scopo di mettere in guardia i ragazzi contro questo tipo di minaccia. "Finto" perché non voglio registrare alcuna informazione sensibile. Mi spiego meglio: io mando ad un gruppo di ragazzi (che mi conoscono e si fidano di me, in modo da far capire che le minacce arrivano da chiunque, magari inconsapevolmente) il link di questa pagina, dicendo, con un messaggio standard e vago, che ci sono nostre foto. Nella pagina verrà chiesto loro di rieseguire il log-in con le credenziali di Facebook. Coloro che ci cascheranno otterrano solo un messaggio che li ammonisce per aver inserito i loro dati senza coscienza.
Il mio obiettivo è quindi creare una pagina web "accattivante", in cui chi scrive i propri dati riceve un messaggio di avviso per non cascarci più, e allo stesso tempo io possa sapere il numero dei ragazzi che ci hanno creduto. Quindi io vorrei avere solo il CONTATORE di chi ci casca e NON VOGLIO ASSOLUTAMENTE che mi arrivino i loro dati in alcun modo.
E' possibile creare una pagina web del genere? Se sì, come? Ovviamente mi accontento anche di un link ad un'eventuale guida.
Grazie in anticipo a tutti.

Qui su tomshw non svolgiamo lavori altrui ma aiutiamo a svolgerli.
Comunque non capisco il nesso di avvisare i tuoi amici di minacce di pishing presenti sul web quando tu stesso non sai come funzionano sintassicamente e sematicamente. Come pretendi di insegnare un qualcosa a qualcuno se neanche tu la sai? :grat:

 

[tziu]

Innanzitutto grazie per le risposte; devo però "difendermi": il motivo per il quale mi sono rivolto a voi è perché in giro è pieno di guide su come creare pagine di phishing, nessuna però mi spiega come possa fare per NON ricevere quei dati, ricevendo però ESCLUSIVAMENTE il contatore del numero di utenti che ci cascano.
E' vero, nonostante io sappia programmare qualcosa in html (e non ho difficoltà a capire come ampliare la mia attuale limitata conoscenza dei comandi), non conosco la "struttura" di una pagina di phishing, e non ho intenzione di imparare.
Condivido il vostro non voler aiutare su certi argomenti (del resto, dietro un pc le intenzioni di qualcuno possono essere travisate), però nel mio caso, la richiesta era una pagina che non registra alcuna informazione sensibile, quindi non vedo il reato.
Ai ragazzi, se si vuole metterli in guardia sulle minacce del web, non si spiega loro il linguaggio di programmazione di un virus o di una pagina web (certo è interessante, si potrebbe farlo in un corso specifico, ma allora il target è diverso), è più opportuno, piuttosto, metterli a conoscenza dei loro effetti e delle eventuali conseguenze "sociali" che ne derivano, oltre che di tutte quelle accortezze di cui parlava"qSte98"; questo ambito lo conosco bene.
In ogni caso, grazie lo stesso per l'attenzione!

 

[cdtux]

Una pagina di fake login è semplicemente una pagina web identica all'originale ma situata in un server diverso, che, una volta inserite le credenziali, fa un redirect verso il sito corretto (ovviamente le credenziali inserite vengono inviate all'attaccante in chiaro e, in genere, non sono poi usate per fare il login vero e proprio sul sito "originale").

Per il tuo caso, basta che non salvi in nessun database le credenziali inserite in fase di login*, ma ti è sufficiente un link ad una pagina di avvertimento.
Se vuoi rendere il tutto più "credibile" devi solamente validare l'input del form di login (ad esempio il campo mail/username).
Per quanto riguarda il conteggio dei login effettuati, dipende dal linguaggio lato server che vorrai utilizzare (con il solo html non si può fare), inoltre credo tu abbia bisogno anche di un database per "tenere il conto" (ad esempio puoi salvare solo i timestamp dei login e contare quelli).

* Anche se conservi i dati di login inseriti su un database, SE questi NON sono "in chiaro", non puoi comunque decifrarli.

 

[Hobet]

Una pagina di fake login è semplicemente una pagina web identica all'originale ma situata in un server diverso, che, una volta inserite le credenziali, fa un redirect verso il sito corretto (ovviamente le credenziali inserite vengono inviate all'attaccante in chiaro e, in genere, non sono poi usate per fare il login vero e proprio sul sito "originale").

Per il tuo caso, basta che non salvi in nessun database le credenziali inserite in fase di login*, ma ti è sufficiente un link ad una pagina di avvertimento.
Se vuoi rendere il tutto più "credibile" devi solamente validare l'input del form di login (ad esempio il campo mail/username).
Per quanto riguarda il conteggio dei login effettuati, dipende dal linguaggio lato server che vorrai utilizzare (con il solo html non si può fare), inoltre credo tu abbia bisogno anche di un database per "tenere il conto" (ad esempio puoi salvare solo i timestamp dei login e contare quelli).

* Anche se conservi i dati di login inseriti su un database, SE questi NON sono "in chiaro", non puoi comunque decifrarli.

Per quanto pishing e fake login si avvicinino, non ho bisogno di un una pagina tale e quale a facebook per rubare l'account, si può tranquillamente usare un classico fake di "Collegati tramite facebook" su un applicazione malevola, per altro cosa già successa addirittura su android o addirittura un semplice keylogger in javascript.

 

[cdtux]

Per quanto pishing e fake login si avvicinino, non ho bisogno di un una pagina tale e quale a facebook per rubare l'account, si può tranquillamente usare un classico fake di "Collegati tramite facebook" su un applicazione malevola, per altro cosa già successa addirittura su android o addirittura un semplice keylogger in javascript.

Non è che phishing e fake login si avvicinano, il fake login è una tecnica (classica) di phishing.
Gli altri metodi, che hai segnalato, sono anch'essi delle tecniche di phishing.
Per la precisione, il phishing può essere a sua volta catalogato come attacco di tipo social engineering.