kali系统实现钓鱼邮件实验

原创已于 2025-10-28 12:09:14 修改 · 3.3k 阅读

61 ·

CC 4.0 BY-SA版权

文章标签：

#web安全 #安全

于 2024-05-21 22:48:46 首次发布

1实验目的

通过本实验，能够熟悉电子邮件在系统工作原理的基础上，结合社会工程学攻击手段，学习电子邮件攻击的基本原理和方法。攻击者利用发送吸引人的邮件信息篡改邮件指向信息，让目标接收到信息后打开篡改后的网页，最终成功获取攻击者的社交平台账号密码获取隐私。

2实验清单及硬件要求

类型	序号	软硬件要求	规格
攻击机	1	电脑	1台
	2	操作系统版本	Kali Linux
	3	操作软件	VMware Workstation Pro 版本号15.5.2
	4	电子邮箱	1个
靶机	1	电子邮箱	1
靶机	2	操作系统版本	Win10、Win11、WinXP

二、攻击过程

1布置环境

ps.其实windows等系统也可以使用，无非就是使用软件的方法不同，从打开网页开始都是通用的

1.1解压gophishzip到指定文件夹

1.2修改配置文件的IP地址

1.3将URL的IP地址修改为0.0.0.0

1.4输入./gophish执行软件

1.5在浏览器输入https://127.0.0.1:3333进入钓鱼邮件控制台界面

2配置钓鱼邮件模板

2.1在User&Groups中填写对方姓和名以及邮箱后点击Add添加进去

2.2获取一个eml格式的邮件模板

2.3在Email Templates中设置钓鱼邮件的样式诱导用户进入跳转页面

2.4查看模板是否乱码

3设置钓鱼网页

（因为自己做一个相似度很高的网页就算可以直接扒源代码太麻烦了，所以直接写了一个很简陋的网页使用）

网页代码：

</head>

<body>

</form></body></html>

网页要求：

【捕获不到提交的数据】导入的前端源码，必须存在严格存在<form method="post" ···><input name="aaa" ··· /> ··· <input type="submit" ··· />结构，即表单（POST方式）— Input标签（具有name属性）Input标签（submit类型）— 表单闭合的结构，如果不满足则无法捕获到提交的数据。
【捕获不到提交的数据】在满足第2点的结构的情况下，还需要求<form method="post" ···>在浏览器解析渲染后（即预览情况下）不能包含action属性，或者action属性的值为空。
否则将会把表单数据提交给action指定的页面，而导致无法被捕获到。
【捕获数据不齐全】对于需要被捕获的表单数据，除了input标签需要被包含在中，还需满足该存在name属性。例如,否则会因为没有字段名而导致value被忽略。