Войти Подключить
Decoy

Decoy /admin

Фейковая панель администратора — классическая цель веб-сканеров и атакующих. Decoy /admin отдаёт HTML-форму входа. GET фиксирует просмотр, POST — попытку брутфорса с телом запроса.

Подключить компанию Инструкция PDF

Что это и зачем

Decoy генерирует trap-URL с HTML-страницей «Панель администратора» и формой логин/пароль. Можно скачать admin.html для размещения на шаре или использовать live URL для сканеров.

Атакующие и инструменты (nikto, gobuster) ищут /admin, /wp-admin, /manager — при обращении к trap-URL фиксируется http_get. POST с логином/паролем — http_post с телом в алерте.

Как работает

  1. Создаёте decoy — URL и admin.html для скачивания.
  2. URL вставляете в отчёт pentest или фишинг «найдена админка».
  3. Или кладёте admin.html на шару в backup-www-2024.zip.
  4. GET → просмотр. POST → попытка входа с credentials в алерте.

Куда размещать

Trap-URL в фишинге или отчёте сканера, zip «старый сайт» на шаре, внутренний веб-каталог, ссылка в чате «коллега, нашёл админку».

Пошаговая инструкция

  1. 1Сгенерируйте decoy — URL и admin.html.
  2. 2Вставьте trap-URL в поддельный отчёт pentest.
  3. 3Или скачайте admin.html на шару.
  4. 4Decoy отдаёт форму — атакующие пробуют брутфорс.
  5. 5Проверка: откройте URL в браузере, попробуйте POST.

Что фиксируется

  • http_get — просмотр страницы
  • http_post — попытка входа с body
  • IP, User-Agent

Сценарии применения

  • Ловушка для веб-сканеров на perimeter
  • Детектирование брутфорса после утечки URL
  • Сигнал в фишинге — «открытая админка»
  • Сбор credentials, которые атакующий пробует ввести

Частые вопросы

Сохраняются ли введённые пароли?

POST body попадает в событие и алерт. Используйте для анализа — какие пароли пробуют. Не храните реальные учётные данные на decoy.

Похоже ли на WordPress?

Шаблон — универсальная админка. Есть отдельный шаблон wp-login.php в каталоге для WordPress-сценариев.

Можно ли разместить на реальном домене?

Trap-URL на сервере Deception Lite. Не размещайте на production-домене клиента — используйте trap-поддомен.

Похожие ловушки

🎭 Decoy /.env Decoy 🌐 Decoy /api/users Decoy 📧 Web-пиксель в письме Email

Создайте «Decoy /admin» за 2 минуты

Зарегистрируйте компанию — сервис создаст изолированный кабинет и сгенерирует артефакт с инструкцией по размещению.

Открыть кабинет