Чем без палива перехватить пароль от web-формы с ssl, если я контролирую DNS

Всем привет.

Ломаю голову над задачкой..
1) есть какой-нибудь сайт, наприимер майлру или вконтакте, авторизация на котором происходит через веб-интерфейс, при этом данные формы отправляются по https. Что бы не рассуждать в стиле если бы да кабы, далее рассматриваем vk.com, логин с паролем которого летять по адресу

Code:

https://login.vk.com/?act=login

2) я навязал жертве свой DNS, т.е. могу заставить жертву считать, что vk.com и login.vk.com живут на том IP адресе, который я сказал.

3) дедик с живым апачем у меня есть, настраивать на нем Name-based Virtual Hosts я умею.
4) снифер в сетке жертвы у меня тоже есть.
5) НО! жертва не идиет, и смотрит в адресную строку браузера. И если в этой строке он видет не vk.com, то парол он не вводит. А если после воода парола он видит не vk.com а какую-то хрень, то он не забивает болт, а начинает разбираться и меняет парол, например, с нетбука, чей DNS я не контролирую.

Чо делать?

Обычный фейк не проходит - клиент понимает, что че то не так и добирается до вконтакта через другой комп.

Фейк с редиректом не работает, так как редиректится сам на себя.

Снифер не ловит пароли в ssl.

Мысли куда-то в сторону того, что нуно поднять реверсивный прокси, но блин страничка то логина должна быть моя, а дальше - родное вконтактовское. Ы? А как это сделать блин?

 

варинатов тут не много:
1. сертификат подделывать (только не знаю как.. но это делают вроде), этот сертификат импортировать в Cain например и он будет "видеть" ssl пароли.

2. устранвить там кейлоггер/зевс(с форм.граббером) и таким образом перехватить данные.

P.S. с VK не очень толк взлома.. там приявзка к IP. если что то не то, то запросить SMS принять на заранее вводенный номер или номер телефона подтвердить... такая же херня на фейсбуке.. там еще сложнее.

 

А с другого конца если. Вконтакт же не каждый раз парол требует, да? Залогинился, и пока куки живы, ходишь там. Достаточно там эти куки стырить, или еще чего надо? Ну, если я с жертвой за одним IP адресом сижу?

 

класс