setoolkit (Social Engineering Toolkit)
SET 是由 TrustedSec 開發的 社交工程 (Social Engineering) 攻擊框架，主要用於 滲透測試 (Penetration Testing) 與 紅隊演練 (Red Team Engagement)。它專注於 模擬駭客透過社交工程手法攻擊 的過程，幫助安全人員測試與強化企業的資安意識與防護能力。
🔑 主要功能模組
1. Spear Phishing Attack Vectors (魚叉式網路釣魚攻擊)
- 建立並發送針對特定目標的釣魚郵件。
- 可內嵌惡意檔案（如 PDF、Word、Excel）或惡意連結。
- 支援自動化郵件寄送與回報追蹤。
2. Website Attack Vectors (網站攻擊)
- 建立假網站來誘騙使用者輸入帳號密碼。
- 常見功能：
- Credential Harvester Attack：收集使用者帳密。
- Java Applet Attack：利用 Java Applet 下載並執行惡意程式。
- Metasploit Browser Exploit：整合 Metasploit 的瀏覽器漏洞攻擊模組。
3. Infectious Media Generator (惡意媒體產生器)
- 生成 USB/CD/DVD 惡意檔案，當目標使用者開啟後會執行後門程式。
- 模擬攻擊者在公共場合散布「毒化」USB 的手法。
4. Payload and Listener (惡意程式與監聽器)
- 自動產生反向 Shell 或 Meterpreter 等後門程式。
- 可搭配 Metasploit 監聽，取得目標電腦控制權。
5. Mass Mailer Attack (大量郵件攻擊)
- 透過群發釣魚信測試員工的點擊率。
- 可偽造寄件者名稱與信箱，模擬真實攻擊。
6. Arduino-Based Attack Vector
- 利用 Arduino 或 Teensy USB 設備，模擬鍵盤自動輸入攻擊。
- 常用於 BadUSB 攻擊。
7. Wireless Access Point Attack Vector
- 建立假 Wi-Fi AP，誘騙使用者連線並攔截流量。
- 模擬駭客建立釣魚熱點。
8. QRCode Generator Attack
- 產生帶有惡意連結的 QR Code，誘使目標掃描進而中招。
9. Powershell Attack Vector
- 自動化生成 PowerShell 腳本，繞過防毒並建立持久化後門。
10. Third-Party Modules
- 支援外部擴充套件，例如與 Metasploit、BeEF、nGrok 等整合。
⚡ 使用場景
- 紅隊演練：模擬真實駭客的社交工程手法。
- 員工資安訓練：發送釣魚信測試員工警覺性。
- 滲透測試：驗證企業郵件安全、防毒與 DLP 效果。
- 資安意識提升：用於教育訓練，示範攻擊流程。
