釣魚郵件Gophish系統實用指南

感謝老大Gryph0n授權發布

網絡釣魚攻擊手法多種多樣，攻擊的模擬程度越來越高，真假難辨。 Gophish 是一款專為企業和滲透測試人員設計的開源網絡釣魚工具包。 本文搭建了Gophish釣魚系統，還原了郵件釣魚的基本操作流程。 希望從攻擊者的角度看到安全的短板，提高安全意識。

0x01 快速搭建GoPhish開源釣魚系統

Gophish項目地址：

Gophish官網地址：

Gophish自帶網頁面板，給郵件編輯、網站克隆、數據可視化、批量發送等功能的使用帶來了極大的便利。

通過實現功能塊，安全人員可以更好地理解網絡釣魚工作各部分的原理和應用。

安裝包下載：

GoPhish 支持 Windows 和 Linux 平臺。 您可以根據自己的喜好選擇構建的平臺。 只需根據不同的操作系統在github上下載對應的版本即可。 對于本示例，請下載以下版本。

gophish-v0.11.0-linux-64bit.zip

在 Windows 上安裝 GoPhish

關于gophish的Windows平臺安裝包，只有64位。 如果是32位的win可能不兼容。 不過現在的PC大部分都是64位的，所以還是通用的。

下載安裝包：

下載gophish-v0.11.0-windows-64bit.zip后，使用壓縮工具將其解壓到文件夾中。

修改配置文件：

如果需要遠程訪問gophish的后臺管理系統，請修改配置文件。 具體參考Linux下修改gophish配置文件。

使用編輯器打開config.json文件，將listen_url字段的值修改為0.0.0.0:3333（默認為127.0.0.1:3333，僅限本地訪問）。 端口可以??定制。

0x02 運行GoPhish：

雙擊該目錄下的gophish.exe即可啟動gophish。 你需要防止小黑匣子被關閉。 如果它被關閉，腳本將終止。

訪問后臺管理系統：

本地瀏覽器訪問::3333或遠程ip:3333（注意使用https協議）

輸入默認密碼登錄：admin/gophish

注意：最新版本的 gophsih (v0.11.0) 刪除了默認密碼“gophish”。 相反，當 Gophish 首次啟動時，會隨機生成初始密碼并打印在終端中。

詳細信息請參見：

進入釣魚界面：

本地打開瀏覽器，訪問：80/或遠程ip:80/。

至此，gophish在Windows平臺的安裝、配置和運行就已經完成了。

特征

由于后臺管理系統不區分操作系統，因此在介紹各個功能時，不區分Linux和Windows。

進入后臺后，左邊的欄目代表各個功能，分別是六大功能：Dashboard、Campaigns 釣魚事件、Users & Groups、Email Templates、Landing Pages 釣魚頁面、Sending Profiles。

由于實際使用中各個功能并不是按照這個順序配置的，所以下面以實際使用順序來詳細介紹各個功能的使用。

發送配置文件 發送策略

發送配置文件的主要功能是配置用于向 gophish 發送釣魚郵件的電子郵件地址。

單擊新建配置文件以創建新策略并依次填寫每個字段。

姓名：

名稱字段用于命名新創建的發送策略。 不會影響網絡釣魚的實施。 建議使用發送電子郵件地址作為名稱。 例如，如果您使用Outlook郵箱發送釣魚郵件，則可以寫入“名稱”字段。

接口類型：

Interface Type 是接口類型。 默認為 SMTP 類型，不可修改。 因此，需要在發送郵件地址中啟用SMTP服務。

從：

From 是發件人，即網絡釣魚電子郵件中顯示的發件人。 （實際使用中，一般需要偽造近似域名。）為了方便理解，我們暫時以Outlook郵箱為例，所以From字段可以寫成：test

主持人：

Host為SMTP服務器地址，格式為：25，例如Outlook郵箱的SMTP服務器地址為。

用戶名：

用戶名是 SMTP 服務驗證的用戶名。 如果是Outlook郵箱，用戶名就是您自己的Outlook郵箱號碼。

密碼：

密碼是SMTP服務認證的密碼，例如Outlook郵箱。 登錄Outlook郵箱后，點擊設置-賬戶-啟用SMPT服務生成授權碼。 密碼的值可以填寫收到的授權碼。

（可選）電子郵件標頭：

電子郵件標頭是自定義電子郵件標頭字段，例如電子郵件標頭的 X-Mailer 字段。 如果不修改該字段的值，則通過 gophish 發送的電子郵件，電子郵件標頭的 X-Mailer 值將默認為 gophish。

設置完以上字段后，您可以單擊“發送測試電子郵件”發送測試電子郵件，以檢查 SMTP 服務器是否通過身份驗證。

成功收到測試郵件：

至此，外發郵箱的配置已經完成。 當然，在實際釣魚中，不可能使用自己的Outlook郵箱來發送釣魚郵件。 一是身份暴露，郵件真實性低。 另外就是Outlook郵箱等第三方郵箱對每個用戶每天可以發送的郵件數量有限制。

因此，如果您需要大量發送釣魚郵件，最好的辦法就是使用自己的服務器，申請類似的域名，搭建郵件服務器來發送郵件。

登陸頁面釣魚頁面

完成釣魚郵件的編寫后，下一步就是設計郵件中超鏈接指向的釣魚網頁，點擊“新建頁面”創建新頁面。

姓名：

name用于命名當前創建的釣魚頁面，可以簡單命名為釣魚頁面1。

進口網站：

與編輯釣魚郵件模板一樣，gophish 也提供了兩種設計釣魚頁面的方法。 首先是導入Site。 點擊“導入站點”后，填寫偽造網站的URL，然后點擊“導入”即可自動通過互聯網進行爬取。 獲取假冒網站的前端代碼

這里我們以疫情期間偽造的個人所得稅申報界面為例。 在導入站點中填寫登錄頁面，然后單擊導入。

內容編輯框：

內容編輯框是編輯釣魚頁面的第二種方法，但大多數情況下，更多的是用來輔助第一種方法，即修改源代碼和預覽導入的頁面。

由于編碼不同，通過導入站直接導入的網站中文部分通常會出現亂碼。 這種情況就需要查看源碼并手動修改。

（要點）捕獲提交的數據：

通常，網絡釣魚的目的是捕獲受害者的用戶名和密碼。 因此，在單擊“保存頁面”之前，請記住選中“捕獲提交的數據”。

當Capture Submitted Data被勾選后，頁面上就會多出一個Capture Passwords選項，顯然是為了捕獲密碼。 通常，可以選擇選中該框來驗證帳戶可用性。 如果只是為了測試統計受害用戶是否提交數據而不泄露賬戶隱私，則無需檢查。

此外，當選中“捕獲提交的數據”時，頁面上還會有一個額外的“重定向到”。 其功能是當受害用戶點擊提交表單時，將頁面重定向到指定的URL。 可以填寫偽造網站的URL，造成受害者第一次填寫錯誤的賬號和密碼的感覺。

（一般來說，當登錄頁面提交的表單數據與數據庫不一致時，會在登錄頁面的URL中添加一個error參數，提示用戶用戶賬號或密碼錯誤，所以在Redirect to中，最好填寫錯誤參數參數URL）

因此，讓Redirect to here的值為loginpagerrtype=1。

填寫以上參數后點擊保存頁面即可保存編輯好的釣魚頁面。

0x03 陷阱總結

當將真實網站導入為釣魚頁面時，大多數情況下僅通過導入無法實現理想的克隆。 經過多次實踐，總結出以下幾點。

【無法抓取提交的數據】導入后，在HTML編輯框的非Source模式下觀察源碼解析。 如果明顯有很多地方沒有加載，有可能導入的源碼并不是頁面完全加載后的前端代碼，而是半成品，需要解析兩次由瀏覽器渲染卸載的 DOM。 這種情況下，除非能在頁面完全加載后直接爬取前端代碼，否則無法使用gophish進行釣魚。 原因是不滿足第2點。

【無法抓取提交的數據】導入的前端源碼必須有嚴格的已有結構，即表單（POST方法）-輸入標簽（有name屬性） 輸入標簽（提交類型）-表單封閉結構，如果是不滿意，無法捕獲提交的數據。

【提交的數據無法抓取】滿足第2點結構時，仍需包含該結構。 因此，如果遇到新的陷阱，首先要檢查結構。 如果還是不行，那就另想辦法。

電子郵件模板 網絡釣魚電子郵件模板

完成郵件配置后，您就可以使用gophish發送郵件了。 因此，接下來您需要編寫釣魚電子郵件的內容。

單擊“新建模板”創建新的網絡釣魚電子郵件模板并依次填寫每個字段。

姓名

同樣，該字段用于命名當前創建的網絡釣魚電子郵件模板。

導入電子郵件

gophish 提供了兩種編輯電子郵件內容的方法。 第一個是導入電子郵件。

用戶可以先在自己的郵箱系統中設計一封釣魚郵件，然后發送給自己或其他合作伙伴。 他們收到設計好的郵件后，可以打開它并選擇導出為eml文件或者顯示郵件的原文，然后將內容復制到gophish的Import In Email中，就可以導入設計好的釣魚郵件了。

需要注意的是，在單擊“導入”之前，您需要選中“更改鏈接以指向登陸頁面”。 當釣魚事件發生時，該功能會自動將電子郵件中的超鏈接轉換為釣魚網站的URL。

主題

主題是電子郵件的主題。 通常為了提高電子郵件的真實性，你需要自己編一個有吸引力的主題。 此處填寫“疫情期間個人納稅申報通知”即可。

內容編輯框：

內容編輯框是編寫電子郵件內容的第二種模式。 內容編輯框提供了文本和HTML兩種模式來編寫電子郵件內容。 使用方法與普通編輯器相同。

其中，HTML模式下的預覽功能較為常用。 編輯完內容后，點擊“預覽”即可清楚地看到郵件的具體內容和格式。

添加跟蹤圖像

添加跟蹤圖像是在釣魚郵件末尾添加跟蹤圖像，以跟蹤受害用戶是否打開了收到的釣魚郵件。 默認情況下會選中它。 如果不檢查，將無法追蹤受害用戶是否打開了釣魚郵件。 （注：追蹤受害用戶是否點擊釣魚鏈接以及捕獲提交的數據不受此影響）

添加文件

添加文件就是給發送的郵件添加附件。 首先，它可以添加相關文件以提高電子郵件的真實性。 其次，它可以配合反病毒木馬，誘導受害用戶下載并打開。

填寫完上述字段后，單擊“保存模板”保存當前編輯的釣魚郵件模板。

用戶和組 用戶和組

當以上三個功能的內容編輯完成后，釣魚準備工作就完成了80%。 Users & Groups的作用是將釣魚的目標郵箱地址導入gophish并準備發送。

單擊新建組創建新的釣魚目標用戶組。

姓名：

name是當前新建的用戶組的名稱，這里簡單命名為target group 1。

批量導入用戶

批量導入用戶批量導入用戶郵箱。 它通過上傳匹配特定模板的CSV文件來批量導入目標用戶郵箱。

單擊旁邊灰色字體的“下載 CSV 模板”可下載特定的 CSV 模板文件。 其中，模板文件的Email為必填項，其余Frist Name、Last Name、Position為選填項。

添加：

除了批量導入目標用戶郵箱外，gophish還提供了導入單個郵箱的方法，非常方便在開始釣魚之前對釣魚組織進行內部測試。 無需上傳繁瑣的文件，直接填寫電子郵件即可，其余的名字、姓氏和職位都是可選的。

編輯目標用戶的電子郵件地址后，單擊保存更改，將編輯后的目標電子郵件地址保存在 gophish 中。

釣魚活動活動

Campaigns的作用是連接以上四個功能Sending Profiles、Email Templates、Landing Pages、Users & Groups，并創建網絡釣魚事件。

在營銷活動中，您可以創建新的釣魚事件，選擇編輯好的釣魚郵件模板和釣魚頁面，通過配置的發送地址將釣魚郵件發送給目標用戶組中的所有用戶。

單擊“新建活動”以創建新的網絡釣魚事件。

姓名：

name是給新創建的釣魚事件命名，這里簡單命名為第一個釣魚事件。

電子郵件模板：

電子郵件模板是網絡釣魚電子郵件模板。 這里選擇剛剛在上面編輯的網絡釣魚電子郵件模板電子郵件模板 1。

登陸頁面：

登陸頁面是釣魚頁面。 這里選擇剛才編輯的XX系統登錄頁面的釣魚頁面，名為釣魚頁面1。

（強調）網址：

URL 是用于替換所選釣魚電子郵件模板中的超鏈接的值，該值指向部署所選釣魚頁面的 URL。

簡單來說，這里的URL需要填寫當前運行gophish腳本的主機的IP地址。

因為啟動gophish后，gophish默認監聽3333和80端口。 3333端口為后臺管理系統，80端口用于部署釣魚頁面。

當URL中填寫主機IP/時，當前釣魚事件創建成功。 gophish 將在主機的 80 端口上部署當前釣魚事件選擇的釣魚頁面，并將發送的釣魚郵件中的所有超鏈接替換為部署在 80 端口上的釣魚頁面的 URL。

因此，這里的URL填寫的是我本地主機當前運行gophish的IP對應的URL，即。

另外，還需要保證該URL在目標用戶群的網絡環境中是可達的。 例如，如果填寫內網IP，則只有內網目標用戶才能參與釣魚事件，外網目標用戶將無法訪問。 如果gophish部署在公共服務器上，URL填寫的是公共IP或域名，則需要保證目標用戶的內網環境可以訪問公共服務器的IP（有些公司的內網環境會設置防火墻策略為限制內部網絡）。 網絡用戶可以訪問的公網IP）。

發射日期：

啟動日期是網絡釣魚事件的實施日期。 一般情況下，如果只發送少量郵件，則此項無需修改。 如果您需要發送大量電子郵件，最好使用旁邊的發送電子郵件方式。

（可選）通過以下方式發送電子郵件：

Send Emails By 與 Launch Date 結合使用，可以理解為當前釣魚事件下所有釣魚郵件發送的時間。 Launch Date 用作開始發送時間，Send Emails By 用作完成發送時間，兩者之間的時間將除以所有電子郵件（以分鐘為單位）。

例如，“啟動日期”的值為 2022.05.22, 09:00，“發送電子郵件依據”的值為 2022.05.22, 09:04。 此網絡釣魚事件需要發送 50 封網絡釣魚電子郵件。

那么經過上述設置后，9:00到9:04就有5個發送點。 這5個發送點均分50封郵件，即每個發送點會發送10封郵件，即每分鐘只發送10封郵件。 10 個字母。

這樣做的好處是，當需要發送大量釣魚郵件，而發送郵件服務器不限制每分鐘發送的郵件數量時，該設置可以限制釣魚郵件的無限制發送，從而防止釣魚郵件的到來。短時間內收到大量電子郵件。 目標郵箱引起的垃圾郵件檢測，甚至發送郵箱服務器IP也被目標郵箱服務器屏蔽。

發送簡介：

發送配置文件是發送策略。 在這里，選擇剛剛編輯的發送策略。

團體：

Groups是接收釣魚郵件的目標用戶組。 這里選擇剛才編輯的目標用戶組，名為Target 1 Group。

填寫完上述字段并點擊啟??動活動后，就會創建該釣魚事件（注意：如果不修改啟動日期，默認情況下，釣魚事件創建后會立即發送釣魚郵件）。

儀表板 儀表板

當網絡釣魚事件發生時，儀表板將自動開始統計數據。 統計數據項包括郵件發送成功數及率、郵件打開數及率、釣魚鏈接被點擊數及率、賬號及密碼數據提交數及率、提交次數及率等。收到的電子郵件報告的數量。 。 此外，還有一個時間線，記錄每個行為發生的時間。

關于電子郵件報告，請參閱：

需要說明的是，Dashboard統計的是所有釣魚事件的數據，而不是單個釣魚事件的數據。 如果您只需要查看單個釣魚事件的統計信息，您可以在營銷活動中找到該釣魚事件，然后單擊“查看結果”按鈕進行查看。

0x04第一次釣魚：

至此，在gophish上發起釣魚事件所需的所有步驟都已完成，現在就等待魚兒上鉤了。

查看捕獲的數據

模擬目標用戶的行為，打開上面發送的釣魚郵件。

單擊超鏈接

跳轉到部署的釣魚頁面，發現和真實的登錄界面沒有什么區別。 （可以通過手動替換解決亂碼問題）觀察網站URL，可以看到釣魚郵件中的超鏈接指向了之前創建新Campaign表單中填寫的URL，但多了一個刪除最后的參數。 這里的?rid=csF1qTj是唯一的，即唯一指向打開的釣魚郵件。 換句話說，csF1qTj 被唯一分配給該電子郵件的收件人。

如果此名為“First Phishing”的活動選擇的目標有多個目標郵箱，gophish 將為每個目標電子郵件分配一個唯一的 Rid 值，以區分不同的收件人。

輸入用戶名和密碼，test/test然后點擊提交

點擊提交后，部署的釣魚頁面會重定向到真實系統頁面，并添加錯誤參數errtype=1，從而提示賬號或密碼錯誤，從而迷惑受害用戶。

在 gophish 中查看捕獲的數據

單擊“活動”- 選擇第一次釣魚的“查看結果”按鈕- 展開“詳細信息”- 展開“提交的數據”。

您可以看到釣魚頁面提交的賬戶和密碼信息。

以上就是gophish功能面板中所有功能的介紹。 通過學習和利用以上功能，您已經可以實現更基本的網絡釣魚了。 發送配置文件 - 登陸頁面 - 電子郵件模板 - 用戶和組 - 活動 - 儀表板的順序也是實際使用中需要遵循的順序。 如果上一步配置不正確，將會影響后續的功能，達不到預期的效果。 因此，嚴格遵循這一步，不僅可以事半功倍，而且至少可以避免在成為“漁夫”的路上迷失方向。

0x05實際案例

一旦熟悉了以上功能，雖然可以進行簡單的網絡釣魚，但對于模擬性和可信度要求較高的網絡釣魚來說，還是不夠的。 一般來說，有一定網絡安全意識的人是不會上鉤的，所以我們通過一個實際案例來看看，對于常規的網絡釣魚攻擊，還需要做哪些額外的工作。

集團應邀要求對旗下子公司人員進行為期三天的網絡釣魚活動，以提高員工的網絡安全意識，避免在實際硬件操作中因網絡釣魚而導致系統受到攻擊。 于是，一場漫長的釣魚計劃開始秘密策劃……

因為涉及到公司信息，所以用文字描述。 主要是學習一些方法和方法，為實際需要提供一些思路。 本文提及的所有方法均應在獲得授權的情況下進行，并確保它們僅用于提高員工安全意識的目的。 我們再次提醒您，所有未經授權的網絡攻擊都是非法的，互聯網不是非法場所。

前期準備

大概域名：

經過一番查找，我們鎖定了子公司門戶的登錄功能，并打算利用其來釣魚員工的OA門戶賬號密碼。為了提高可信度，我們根據門戶網站的域名申請了一個近似的域名。 由于i的大寫I在某些字體下看起來與門戶網站的l（L）相同，因此可以達到一定的模擬效果。

設置電子郵件服務器：

當我們得到大概的域名后，我們將域名映射到服務器上。 然后我在服務器上使用postfix+dovecot搭建了郵箱服務。 因為我只需要發信，所以只啟用了SMTP服務。 這樣，我們就可以像發件人一樣發送電子郵件。 當然，客戶公司的電子郵件系統帳戶是形式，因此可以達到假冒的效果。

選擇電子郵件主題：

經過一番信息收集，我們找到了客戶公司近期推廣新的信息披露系統的通知，并附上了信息披露系統的網址（無需身份認證），因此我們可以用它來編輯一封主題為“信函”的信函。對于宣傳新信息披露系統的釣魚郵件，誘導公司員工先通過我們的釣魚頁面登錄OA門戶，然后重定向至新信息披露系統。 這樣就可以捕獲員工的OA賬號密碼，有效降低嫌疑程度，形成閉環。

識別發件人：

當我們幾乎準備好后，客戶向我們發送了一份員工和部門電子郵件地址列表。 經過篩選和考慮公司情況，我們確定了一個技術部門的郵箱地址，并冒充“信息技術部”發送釣魚郵件，確保釣魚郵件的發送。 電子郵件的權威性和可信度

配置gophish

將門戶頁面、釣魚郵件模板、目標用戶郵箱導入gophisih并保存，并在發送配置文件中配置我們內置的郵箱服務，使其能夠正常發送，不會被扔進垃圾箱、過濾箱等。

配置完成后，創建釣魚事件。 由于發送量較大，需要設置“發送郵件方式”來限制每分鐘發送的郵件數量。 我們將速度設置為 10 封電子郵件/分鐘，以避免被識別為垃圾郵件。

完成所有字段后，啟動網絡釣魚事件并慢慢開始發送網絡釣魚電子郵件......

查看釣魚結果

雖然只有46個用戶上鉤，占郵件發送量的2%，但在真實場景中，即使是一個真實用戶上鉤，也足以對系統造成巨大威脅。 這就是為什么社會工程可以成為一種重要的攻擊手段。

Tags：釣魚郵件 郵件 釣魚 網站提交 email