Gophish钓鱼实践指南

访客 2021年06月05日 00:54 269 0

本文来源:Jean

1. 概念

1.1. 钓鱼邮件

指利用伪装的电邮，欺骗收件人将账号、口令等信息回复给指定的接收者；或引导收件人连接到特制的网页，这些网页通常会伪装成和真实网站一样，如银行或理财的网页，令登录者信以为真，输入信用卡或银行卡号码、账户名称及密码等而被盗取。

1.2. 社会工程学攻击

指的是通过与他人的合法地交流，来使其心理受到影响，做出某些动作或者是透露一些机密信息的方式。这通常被认为是一种欺诈他人以收集信息、行骗和入侵计算机系统的行为。

1.3. Gophish

Gophish is an open-source phishing toolkit designed for businesses and penetration testers. It provides the ability to quickly and easily setup and execute phishing engagements and security awareness training.(Gophish是一个开源网络钓鱼工具包，专为企业和渗透测试人员设计。它提供了快速、轻松地设置和执行网络钓鱼活动和安全意识培训的能力。)

项目地址：https://github.com/gophish/gophish

用户手册：https://docs.getgophish.com/user-guide/

1.4. Postfix

是Wietse Venema在IBM的GPL协议之下开发的MTA（邮件传输代理）软件。

1.5. Dovecot

是一个开源的 IMAP 和 POP3 邮件服务器，支持 Linux/Unix 系统。

2. 环境

名称	操作系统	IP	Hostname
攻击者	CentOS Linux release 7.2.1511 (Core)	192.168.6.128	mail.dia0yu.com
企业A邮件服务器	CentOS Linux release 7.2.1511 (Core)	192.168.6.129	mail.diaoyu.com

3. 场景设定

假设企业A的域名为diaoyu.com，该企业有张三、李四这两名员工，邮箱账号为zhangsan@diaoyu.com、lisi@diaoyu.com。

现模拟：攻击者伪造一个假的邮箱security@dia0yu.com,通过该邮箱给张三、李四发送钓鱼邮件。

4. 企业A邮件服务器配置

4.1. ip

192.168.6.129

4.2. 设置主机名

hostnamectl set-hostname mail.diaoyu.com

4.3. 关闭防火墙

systemctl stop firewalld

4.4. DNS

4.4.1. 安装

yum install bind -y

Gophish钓鱼实践指南-第1张图片-网盾网络安全培训

4.4.2. 修改配置文件

4.4.2.1. /etc/named.conf

vi /etc/named.conf

Gophish钓鱼实践指南-第2张图片-网盾网络安全培训

检查语法错误

named-checkconf

4.4.2.2. /etc/named.rfc1912.zones

vi /etc/named.rfc1912.zones

在文末添加

Gophish钓鱼实践指南-第3张图片-网盾网络安全培训

检查语法错误

named-checkconf

4.4.2.3. diaoyu.com.zone

创建正向区域数据配置文件

cd /var/named

cp -p named.localhost diaoyu.com.zone

编辑正向区域数据配置文件

vi diaoyu.com.zone

$TTL 1D
@	IN SOA	@ rname.invalid. (
					0	; serial
					1D	; refresh
					1H	; retry
					1W	; expire
					3H )	; minimum
	NS	mail.diaoyu.com.
	MX 10 	mail.diaoyu.com.
mail	IN A 	192.168.6.129

4.4.2.4. diaoyu.com.local

创建反向区域数据配置文件

cd /var/named

cp -p named.localhost diaoyu.com.local

编辑反向区域数据配置文件

vi diaoyu.com.local

$TTL 1D
@	IN SOA	diaoyu.com rname.invalid. (
					0	; serial
					1D	; refresh
					1H	; retry
					1W	; expire
					3H )	; minimum
	NS	mail.diaoyu.com.
	MX 10   mail.diaoyu.com.
10 	PTR 	mail.diaoyu.com.

检查语法错误

named-checkconf

4.4.3. 启动dns

systemctl start named

4.4.4. 设置开机自启

systemctl enable named

4.4.5. 设置dns

vi /etc/resolv.conf

Gophish钓鱼实践指南-第4张图片-网盾网络安全培训

4.4.6. 解析验证

nslookup mail.diaoyu.com

Gophish钓鱼实践指南-第5张图片-网盾网络安全培训

4.5. Postfix

4.5.1. 修改配置文件

4.5.1.1. /etc/postfix/main.cf

编辑postfix配置文件（修改6处内容）

myhostname = mail.diaoyu.com

mydomain = diaoyu.com

myorigin = $mydomain

inet_interfaces =  192.168.6.129 , 127.0.0.1

mydestination = $myhostname,  $mydomain

home_mailbox = Maildir/

检查语法错误

postfix check

4.5.2. 重启服务

systemctl restart postfix

4.5.3. 加入开机自启

systemctl enable postfix

4.5.4. 查看postfix配置

postconf -n

Gophish钓鱼实践指南-第6张图片-网盾网络安全培训

4.5.5. 新建用户

新建系统用户(系统账号即为邮件账号) test、diaoyu、zhangsan、lisi

Gophish钓鱼实践指南-第7张图片-网盾网络安全培训

4.6. Dovecot

4.6.1. 安装

yum install -y dovecot

Gophish钓鱼实践指南-第8张图片-网盾网络安全培训

4.6.2. 修改配置文件

4.6.2.1. /etc/dovecot/dovecot.conf

protocols = imap pop3 lmtp

listen = *

!include conf.d/10-auth.conf

ssl = no

disable_plaintext_auth = no

mail_location = maildir:~/Maildir

4.6.3. 启动服务

systemctl start dovecot

4.6.4. 加入开机自启

systemctl enable dovecot

4.7. 检查端口监听情况

110，143端口需要监听

Gophish钓鱼实践指南-第9张图片-网盾网络安全培训

4.8. 测试发邮件

telnet 发件测试

Gophish钓鱼实践指南-第10张图片-网盾网络安全培训

使用Foxmail（宿主机）添加邮箱，结果失败：

Gophish钓鱼实践指南-第11张图片-网盾网络安全培训

宿主机无法Telnet 25端口

Gophish钓鱼实践指南-第12张图片-网盾网络安全培训

检查发现防火墙开启，关闭防火墙

Gophish钓鱼实践指南-第13张图片-网盾网络安全培训

宿主机再次Telnet 发现已成功

Gophish钓鱼实践指南-第14张图片-网盾网络安全培训

Foxmail成功创建账号

Gophish钓鱼实践指南-第15张图片-网盾网络安全培训

收到的邮件信息如下

Gophish钓鱼实践指南-第16张图片-网盾网络安全培训

现使用diaoyu@dia0yu.com,发送邮件给diaoyu@diao.com,提示Undelivered Mail Returned to Sender（系统退信）[在攻击机named.rfc1912.zones增加内容后问题解决]。

Gophish钓鱼实践指南-第17张图片-网盾网络安全培训

打开eml可以看到以下内容

Gophish钓鱼实践指南-第18张图片-网盾网络安全培训

5. 攻击机配置

5.1. ip

192.168.6.128

5.2. Hostname

mail.dia0yu.com

5.3. DNS

5.3.1. 修改配置文件

5.3.1.1. /etc/named.rfc1912.zones

最终文件内容为：

// named.rfc1912.zones:
//
// Provided by Red Hat caching-nameserver package 
//
// ISC BIND named zone configuration for zones recommended by
// RFC 1912 section 4.1 : localhost TLDs and address zones
// and http://www.ietf.org/internet-drafts/draft-ietf-dnsop-default-local-zones-02.txt
// (c)2007 R W Franks
// 
// See /usr/share/doc/bind*/sample/ for example named configuration files.
//

zone "localhost.localdomain" IN {
	type master;
	file "named.localhost";
	allow-update { none; };
};

zone "localhost" IN {
	type master;
	file "named.localhost";
	allow-update { none; };
};

zone "1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" IN {
	type master;
	file "named.loopback";
	allow-update { none; };
};

zone "1.0.0.127.in-addr.arpa" IN {
	type master;
	file "named.loopback";
	allow-update { none; };
};

zone "0.in-addr.arpa" IN {
	type master;
	file "named.empty";
	allow-update { none; };
};
zone "dia0yu.com" IN {
	type master;
	file "dia0yu.com.zone";
};
zone "6.168.192.in-addr.arpa" {
	type master;
	file "dia0yu.com.local";
};
zone "diaoyu.com" IN {
	type master;
	file "diaoyu.com.zone";
};

5.3.2. /etc/resolv.conf

cat /etc/resolv.conf

Gophish钓鱼实践指南-第19张图片-网盾网络安全培训

5.3.3. diaoyu.com.zone

cd /var/named/

cat diaoyu.com.zone

$TTL 1D
@	IN SOA	@  rname.invalid. (
					0	; serial
					1D	; refresh
					1H	; retry
					1W	; expire
					3H )	; minimum
	NS	@
	A	192.168.6.129
	MX 10 	mail
mail	A	192.168.6.129

5.3.4. dia0yu.com.local

cd /var/named

[root@127 named]# cat dia0yu.com.local 
$TTL 1D
@	IN SOA	diaoyu.com rname.invalid. (
					0	; serial
					1D	; refresh
					1H	; retry
					1W	; expire
					3H )	; minimum
	NS	mail.dia0yu.com.
	MX 10   mail.dia0yu.com.
10 	PTR 	mail.dia0yu.com.

5.3.5. dia0yu.com.zone

cd /var/named

[root@127 named]# cat dia0yu.com.zone 
$TTL 1D
@	IN SOA	@ rname.invalid. (
					0	; serial
					1D	; refresh
					1H	; retry
					1W	; expire
					3H )	; minimum
	NS	mail.dia0yu.com.
	MX 10 	mail.dia0yu.com.
mail	IN A 	192.168.6.128

5.4. 互发邮件测试

成功使用邮箱dia0yu@dia0yu.com发送邮件给diaoyu@diaoyu.com

Gophish钓鱼实践指南-第20张图片-网盾网络安全培训

5.5. 其他

postfix、dovecot配置与企业A邮件服务器配置类似

如Telnet端口不通，请检查防火墙状态

6. Gophish

6.1. 下载

wget https://github.com/gophish/gophish/releases/download/v0.11.0/gophish-v0.11.0-linux-64bit.zip

Gophish钓鱼实践指南-第21张图片-网盾网络安全培训

6.2. 解压

unzip gophish-v0.11.0-linux-64bit.zip

Gophish钓鱼实践指南-第22张图片-网盾网络安全培训

6.3. config.json

修改配置文件

[root@mail gophish]# cat config.json 
{
	"admin_server": {
		"listen_url": "0.0.0.0:3333",
		"use_tls": true,
		"cert_path": "gophish_admin.crt",
		"key_path": "gophish_admin.key"
	},
	"phish_server": {
		"listen_url": "0.0.0.0:80",
		"use_tls": false,
		"cert_path": "example.crt",
		"key_path": "example.key"
	},
	"db_name": "sqlite3",
	"db_path": "gophish.db",
	"migrations_prefix": "db/db_",
	"contact_address": "",
	"logging": {
		"filename": "",
		"level": ""
	}
}