acessada a variavel global do PHP HTTP_ACCEPT_LANGUAGEque informa qual e o idioma que o navegador do usuario querequisitou a pagina aceita. Essa variavel busca o headerHTTP Accept Language.A partirdisso o atacante sabe qual e o idioma mais adequado para apresentara pagina falsa do PayPal. Isso mostra ele que nao esta soquerendo vitimas que entendam ingles, como vemos no codigo eletambem tem versoes para espanhol e frances.Baseadonessas informacoes ele inclui no codigo a pagina do PayPaladequada. Olhando novamente na figura do diretorio servicevemos que ha as paginas Pay_EN.php, Pay_ES.php e Pay_FR.php.Apos ainclusao da pagina, ele finalmente exibe a tela inicial dophishing, aquela que vimos na primeira figura.Vamosfazer a analise da versao em ingles, a pagina Pay_EN.php. Essapagina possui um codigo PHP inicial seguido do codigo HTML dapagina, que contem alguns forms para receber inputs do usuario.Mesmofazendo essa escolha de idioma inicial, o atacante permite que ousuario altere o idioma na pagina, existe um form para isso: <form method="post" id="rosetta" class="rosetta" action="Pay_EN.php?cmd=_home&amp;dispatch=5885d80a13c0db1f8e263663d3faee8dc18bca4c6f47e633b393e284a5f8a8f8"> <input type="hidden" name="cmd" value="ok"> <fieldset> <legend><span class="accessAid">Change Your Language</span></legend> <label for="rosetta_dropdown">Language Select</label> <select id="rosetta_dropdown" name="locale_x"> <option value="en_US" selected>English</option> <option value="es_XC">Espa&ntilde;ol</option> <option value="fr_XC">Fran&ccedil;ais</option> </select> <input type="submit" name="testName" value="&gt;" class="button mini"> <input type="hidden" id="change_locale_x" name="change_locale.x" value="1"> </fieldset> <input type="hidden" name="cmd" value="ok"> <input name="form_charset" type="hidden" value="UTF-8"> </form> Agoraanalisando o inicio do codigo PHP da pagina Pay_EN.php vemos essesdados sendo tratados:Eleinicia uma sessao do PHP caso ja nao tenha sido iniciada e atribuipara uma variavel de sessao o idioma escolhido (essa variavelficara visivel para todas as paginas). Depois recebe as variaveiscmd e locale_x passados pelo form pelo metodo POST eentao se o usuario escolheu outro idioma ele chama a paginacorreta.CapturandodadosAinda naPay_EN.php ha o formulario de login da conta do PayPal, que e o querealmente o atacante deseja capturar.O codigoHTML desse form e esse: <form method="post" name="login_form" action="webscr?cmd=_login-submit&dispatch=5885d80a13c0db1f8e263663d3faee8dc18bca4c6f47e633b393e284a5f8a8f8"> <fieldset> <legend>Member Log In</legend> <p><label for="login_email">Email address</label> <input type="text" id="login_email" name="login_email" value=""></p> <p><label for="login_password">PayPal password</label> <input autocomplete="off" type="password" id="login_password" name="login_password" value=""> <p><label for="target_page">Go to</label> <select id="target_page" name="target_page"> <option value="0" selected>My account</option> <option value="1">My transactions</option></select></p> <input type="submit" name="submit.x" value="Log In" class="button primary"> </fieldset> <p><a href="direct.php?site=https://www.paypal.com/us/cgi-bin/webscr?cmd=_account-recovery&amp;from=PayPal">Problem with login?</a></p> <p>New to PayPal? <strong><a href="direct.php?site=https://www.paypal.com/us/cgi-bin/webscr?cmd=_registration-run">Sign up</a></strong>. </p> <input name="form_charset" type="hidden" value="UTF-8"> </form> Os dadosinseridos nesse form vao para essa pagina do phishing:"webscr?cmd=_login-submit&dispatch=5885d80a13c0db1f8e2636..."Olhando olink Problem with login? que o atacante redireciona para o siteverdadeiro do PayPal, vemos a semelhanca das duas URLs:https://www.paypal.com/us/cgi-bin/webscr?cmd=_account-recovery&amp;from=PayPalMais umavez para deixar as URLs com aparencia mais legitima. Outro detalhe e que ele chama o index de um diretorio epassa parametro para ele somente com o nome da pasta, semespecificar o arquivo index.Oatacante usou isso:"webscr?cmd=_login-submit...Ao invesdisso:"webscr/index.php?cmd=_login-submitUma formamais furtiva para se parecer com a URL verdadeira. Se olharmos nafigura da estrutura de pastas do service iremos encontrar apasta webscr la, que tera o index.php que recebera os dadosdesse formulario passados pelo metodo POST.A paginawebscr/index.php possui algumas coisas interessantes. Primeiro,para QUALQUER usuario e senha digitados no formulario anterior elamostrara essa pagina:E umamensagem de erro de login, falando que os dados digitados nao estaocorretos. Isso derruba aquela dica arcaica de seguranca que dizinsira qualquer usuario e senha na pagina, se aceitar eporque a pagina e falsa, senao e verdadeira. Essapagina vai exigir que sempre