观众老爷们，帮忙点点关注、点点赞、点点在看，抱拳了！
Gophish 是一个开源的钓鱼模拟框架，项目地址我放文末了。当然还有一个链接迷惑工具，我之前的文章写过，也可以配合 Gophish 一起食用。
Gophish 有 GUI 前端，这就很方便我们团队中的运营们快速上手，例如说创建钓鱼邮件模板、监控、跟踪数据等等。
我就直接放 yml 了：
version: '3.8'
services:
gophish:
image: gophish/gophish:0.12.1
ports:
- "3333:3333"
- "80:80"
volumes:
- ./gophish_data:/gophish
启动之后，访问：
https://localhost:3333
一切正常的话，页面如下：
默认用户名是 admin，默认密码需要 docker logs 看才行，例如我们输入 docker logs gophish 之后，在日志里找类似这样的一条：
time="2020-06-30T08:04:33-05:00" level=info msg="Please login with the username admin and the password [temporary password]"
我的日志是这样：
gophish-1 | time="2024-06-12T14:07:53Z" level=info msg="Please login with the username admin and the password ee6d88686d476089"
然后我们就能进入到管理页面了，如下：
我们可以点 Campaigns 创建和管理钓鱼演练；Users & Groups 就是群组设置，在钓鱼演练时候分组做针对性的钓鱼；Email Templates 这个很好用，能在网上找很多钓鱼邮件模板搞进去；Landing Pages 这个菜单是编辑钓鱼活动中使用的网页，直接把 html 粘进去就可以；Sending Profiles 就是配置电子邮件服务器，否则怎么发钓鱼邮件呢...
这个简单，Gophish 通过在电子邮件中嵌入一张非常小的、对用户不可见的图片（有时候也叫Web信标或追踪像素之类的）来确定邮件是否被打开，当收件人打开邮件时，邮件客户端会向服务器请求这张图片，服务器就认为邮件被打开了。
但是呢，这技术也不一定准确，为啥呢？
因为如果你用客户端收件，比如苹果上的邮件 App，或者 Outlook 之类，为了保护隐私和安全考虑，客户端默认值设置是不自动加载图片，这时候上述方法就不好用了。
因此，更准确更有效确定钓鱼是否成功的方式是，在模拟钓鱼演练中想办法让收件人手动允许下载图片或用什么方式和模拟钓鱼邮件互动，触发某些网络请求（如点击链接）。
https://github.com/gophish/gophish
点点赞 点点关注 点点文末广告 抱拳了家人们
创作不易
关注一下
帮忙点点文末广告