---
title: Talk slides template
description: View the slide with "Slide Mode".
---

# 資訊安全實務基礎(上) 410630361-楊梓盛
---

## 9/25 Ubuntu Terminal應用
### 新增使用者
- 新增一個名為[**admin**]的使用者，並設定其使用者資訊。


### 更新伺服器套件
- 輸入[**sudo apt upgrade**]來更新。


### 取得root權限(超級管理員模式)
- 以方便使用者對其系統等做各種深度變動與設定。


---
## 10/2 Ubuntu Terminal應用
### 顯示系統相關資訊
- 輸入[**uname -a**]來顯示系統資訊(如版本、架構等)。


### 顯示系統詳細資訊-安裝neofetch
- 輸入[**sudo apt install neofetch**]來安裝neofetch相關套件。

- 安裝好後輸入[**neofetch**]便可顯示系統詳細資訊。


### 安裝與顯示系統狀態即時監控指令工具(htop)
- 輸入[**sudo apt install htop**]來安裝htop相關套件。

- 安裝好後輸入[**htop**]便可顯示系統狀態即時監控指令工具。


### 安裝網路工具(net-tools)
- 輸入[**sudo apt install net-tools**]來安裝網路工具。


### 顯示網路資訊
- 輸入[**ifconfig**]來查看網路資訊。


### 查看狀態並開啟防火牆
- 輸入[**sudo ufw status**]來查看防火牆是否開啟。
- 顯示未開啟，可輸入[**sudo ufw enable**]來開啟防火牆。


---
## 10/23 Ubuntu Terminal應用與資料共享
### 將虛擬機資料夾與電腦本地資料夾共用設定
- 1.在VM-Ware的Ubuntu虛擬機啟動介面中，點選[**Edit virtual machine settings**]。
- 2.在跳出的設定視窗中點擊[Options]選項。
- 3.點選[Shared Folders]項，並將Folder sharing勾選為[Always enabled]。
- 4.Folders項中，點擊[Add]按鈕來新增欲共享的本地資料夾。

### 虛擬機內的共用設定
- 1.開啟Terminal後輸入[**sudo su**]來進入超級管理員模式。
- 2.在超級管理員模式下輸入[**gedit /etc/fstab**]並按回車鍵後，會跳出一個名為[*fstab]的文字檔案。
- 3.在該文字文件的最後一行加上[**vmhgfs-fuse /mnt/hgfs fuse defaults,allow_other 0 0**]，然後按右上角Sava按鈕。
- 4.輸入[**Exit**]退出root模式
- 5.輸入[**vmware-hgfsclient**]後，便可察看到已共享的資料夾名稱。
- 6.試著將本地端檔案放在已設定共享的本地資料夾，虛擬機中該資料夾也會同步出現該檔案。




---
## 10/30 靶機安裝與實作(Metasploitable2-Linux)
### 登入靶機並查看靶機IP位址
- 1.開啟虛擬機Metasploitable2-Linux後，確認靶機成功開啟。
- 2.輸入帳密[msfadmin]來登入。
- 3.登入後輸入[ifconfig]便可查看當前ip位址(inet addr)。



### 靶機架設測試
- 於瀏覽器網址列中輸入查到的ip位置，如果架設成功會顯示以下畫面。


---
## 11/13 KALI Linux應用
### Wireshark抓封包
- 1.開啟KALI Linux的終端機
- 2.輸入[**sudo nmap** + **靶機查到的ip位址**]。
- 3.成功查詢到靶機。


- 4.開啟KALI內建的Wireshark。
- 5.點選[eth0]來查詢網段。



- 紅色標示網段為較難攻擊。

- 灰色標示網段為較易攻擊。

### 測試攻擊
- 打開瀏覽器並在網址列輸入[查詢ip/dvwa/login.php]，登入帳號預設為admin，密碼為password。

- 查詢http網段。

- 回到DVWA將Security high 改為 low。

- Wireshark中可以看到Cookie: Security已改為low。

- 將頁面展開即可看到帳號與密碼。

- 測試看看攻擊學校網頁，很顯然的攻擊失敗了。

### 查詢歷年破解的密碼
- 輸入[**/user/share/wordlists**]。
- 再輸入[**ll**]。


- 會看到名為[rockyou.txt.gz]的壓縮檔。

- 將檔案解壓縮(輸入[**sudo gunzip rockyou.txt.gz**])。

- 解壓縮後便可看到歷年破解的密碼。

---
## 11/20 利用Ettercap套件找出使用者名稱與密碼
### 下載並運行Ettercap
- 在KALI Linux的Terminal中輸入[sudo apt install driftnet]來安裝相關套件。


- 輸入你的密碼(kali)。


- 成功進入Ettercap介面。


- 瀏覽器查詢登入測試(inurl:http login)。


- 找一個http做登入測試。


- 在Ettercap中點選右上角的選項按鈕，並在Targets中尋找登入口http為80。



- 在終端機中試著[**ping google.com**]。


- 在Ettercap中找到port為80。


- 在Connection data中便會顯示出輸入的帳號密碼。


---
## 11/23 自行練習nmap
### 在KALI執行掃描後使用zenmap做連線測試
- 與組員練習。

---
## 11/27 釣魚網站測試
### 工具建立與套件安裝
- 打開Terminal輸入[**git clone https://github...**] 便會使用 git clone 命令從 GitHub 複製一個名為 “social-engineer-toolkit” 的資料儲存庫。複製過程中顯示了對象的計數、壓縮和接收的詳細資料。


- 輸入[**cd setoolkit**]來安裝一個名為 “setoolkit” 的工具，並建立該工具。


- 自動安裝一個名為 “pycrypto” 的Python套件。


- 輸入[**sudo apt-get update && sudo apt-get install python-pip**]命令來更新系統並安裝python-pip套件。


### Social-Engineer Toolkit(SET)操作
- ***STEP1-*** 運行**Social-Engineer Toolkit(SET)**，用於執行不同類型的社交工程測試。**此處選(1)進入。**


---

- ***STEP2-*** **此處選(2)Website Attack Vectors** 後，會顯示一個選單，其中包括如社交工程攻擊、Java Applet攻擊方法、Metasploit 瀏覽器漏洞利用方法等選項。每種攻擊向量都有相對應的說明，解釋其如何操作和它是如何影響目標的。


---

- ***STEP3-*** **此處選(3)Credential Harvester Attack Method**。


---

- ***STEP4-*** **此處選(2)Site Cloner**。


---

- ***STEP5-*** 進入KALI FireFox瀏覽器，查詢iclass網站並複製網址。


---

- ***STEP6-*** 使用 “Credential Harvester” 攻擊方法來clone一個網站（sso.tku.edu.tw），並設置一個釣魚網站來收集訪問者的使用者名稱和密碼。

**...**

---
## 12/18 Zphisher釣魚網站測試
###
- Zphisher GitHub。


- 在KALI Linux 系統上的Terminal視窗執行 [**git clone**] 命令來從 GitHub 資料庫clone一個名為 “zphisher” 的項目。


- 這個命令的目的是從 GitHub 存儲庫clone一個名為 “zphisher” 的項目到本地。clone的過程包括枚舉對象、計數對象、壓縮對象和解析增量。完成後，輸入[**cd zphisher**] 來進入 “zphisher” 目錄並執行名為 “zphisher.sh” 的 bash 腳本。


- 進入Zphisher介面後，會出現一個MENU來讓我們選擇欲攻擊的網站。此處以Yahoo作為釣魚網站對象，**選擇25**。


- 有LocalHost、Cloudflared 和 LocalXpose 等選項，**此處選擇(2)Cloudflared**。


- 使用 “Zphisher” 釣魚工具來創建一個假的 Yahoo 登錄畫面，並等待受害者輸入他們的帳號與密碼。當受害者輸入他們的帳密時，這些信息將被捕獲並保存到一個名為 “authp.txt” 的文件中。此外，受害者的IP位址也會被記錄下來。



- 最後，在終端機中進入Zphisher目錄，並依序輸入[**cd auth**] -> [**ls**] -> [**cat usernames.dat**]，即可顯示捕獲到的受害者帳號與密碼。


---
and more...