FBPwn, si no hackeas a tu ex-girlfriend, investigala !!! xD

Todos sabemos lo doloroso, o no, que es una ruptura nupcial. Días de porno en casa a solas, mas porno, y así todos los días. En unos casos a unos le da por comer, y a otros por no comer xD.
Bueno, pues este post no tiene nada que ver con el amor, sino con una herramienta para usar la ingeniería social en Facebook.
El propósito de esta herramienta no es otro sino el de recopilar información de nuestra "víctima" y conocidos. Siendo este un blog de seguridad, y no de salsa rosa, se me ocurre utilizarlo para obtener conocimiento de una persona o empresa, para facilitarnos el trabajo de pentesting. Es decir, que no sirve para juacker Facebook.
Fbpwn lo podemos bajar de la web, en su versión gráfica-flamante-windowsera.
Lo instalamos y ejecutamos, y lo primero que tenemos que hacer es añadir una cuenta de facebook existente. Lo suyo es tener una blanca, limpia, para no levantar sospechas claro... PERO tiene que estar en idiomas ingles, y tienes que usar el nick de la cuenta, no el mail. Si creas un perfil "falso" para usarlo, tienes que tener el nick validado...

Una vez introducimos una cuenta válida, procedemos a atacar, como? dándole al botón ( estos usuarios !!!).
Nos aparece una ventana en la que indicamos la url al perfil que queremos atacar.
Punto y coma, esta herramienta no hace ningún tipo de magia,por ejemplo, si quieres ver fotos privadas de alguien que no tienes permiso, no vas a poder. Esta herramienta lo que hace es facilitar el trabajo. Por debajo trabaja con peticiones a la web de Facebook normales...Aquí es cuando muchos dejáis de leer xD.
bueno, la foto del menú.

Podemos elegir que módulos usar, pero lo suyo es saber más o menos que hacen xD:

- AddVictimFriends:  Con este plugin lo que hacemos es añadir automaticamente amigos de la víctima. La teoría es que si usamos un perfil "falsete", añadir amigos de la víctima para generar confianza a la hora de solicitar la amistad al perfil víctima.
- ProfileCloner: Copia toda la información pública de uno de los amigos de la víctima, para que la víctima acepte la solicitud.
- CheckFriendRequest: Comprueba si la cuenta falseta es amiga de la víctima. Constantemente la comprueba hasta que se produce la amistad.
- DumpFriends: Vuelca información PUBLICA de los amigos de la víctima. Insisto en lo de antes, si no es pública, esta herramienta no hace magia.
- DumpImages: Misma historia que arriba, pero con las imágenes y sus comentarios ( trabajo posterior de metadatos? )
- DumpInfo: Mismo pero con la información.
- DumpWall: Mismo que arriba pero con las publicaciones del muro
- DictionaryBuilder: Construye una lista de palabras obtenidas en los comentarios... Muy útil. Por ejemplo, en un auditoría de claves a Sheldon Cooper deberíamos usar "bazinga" ...A mi no me ha funcionado con los perfiles que he probado...
- CloseFriendsFinder: No he entendido muy bien este módulo, ya que se supone que contando comentarios en muro y etiquetas obtiene la información de número de contactos ( por si alguien no tiene bloqueado, pero si es una cuenta falseta? ).

Os recomiendo que probéis uno a uno los módulos, para saber que hacen. Indicarle una ruta válida para almacenar toda esta información. También he detectado que como no guarda las hojas de estilo, al ver la información volcada hay que trabajarlo un poco, pero es muy interesante esta herramienta. Para mi, lo mejor, lo de volcar información de muro, fotos e info en ficheros de texto, que luego podemos usar de base para crear una wordlist potente.

Como siempre, gracias por leerme.