gophish配置方法（转载）
@大家好…. hw…. 练习生 …. 唱 跳 rap 和 篮球…snowming
0. 前言
此文写于护网期间（2019年6月6日），彼时刚刚回国，就碰上了护网，弥足珍贵的经历。
1. Gophish 搭建
Gophish 是一个功能强大的开源网络钓🐟框架。
Github 地址：https://github.com/gophish/gophish
安装运行非常简单：
STEP1：在https://github.com/gophish/gophish/releases/下载适合自己的zip包至自己的VPS。
我下载的是：
wget https://github.com/gophish/gophish/releases/download/0.7.1/gophish-v0.7.1-linux-64bit.zip
解压完有以下这些文件：
STEP2：修改 config.json：
要注意：
- admin_server 把 127.0.0.1 改为 0.0.0.0，然后最好不要使用默 认3333 端口，亲测这个端口可能因为某种人为因素不通，改为 443 是最稳的。
- listen_url 也要是 0.0.0.0，如果 80 端口被占用了可以改为其他端口比如 81。
- contact_address 不是一定要加上的，可以加一个。
STEP3：./gophish 运行（如果不行就加个sudo）：
STEP4： 快乐访问admin后台：https://VPS IP: admin_server的监听端口
比如我的就是 https://148.70.xx.xx:443
使用默认账号密码 admin gophish 来 login。
就进入了后台：
2. 近似域名
比如说我想对一个叫snowm1ng的公司钓鱼，他们公司的邮件格式是： xxx@snowm1ng.me。
那么为了发钓🐟邮件，我就专门去狗爹购买了一个近似域名 snowming.me，这样的话后面我们就可以以 admin@snowming.me 为发件人去发一些钓鱼邮件。
在此近似域名的DNS管理页面增加两条记录：
注：【一点点私货夹带】关于近似域名的钓鱼工作，IDN了解一下，请参考：
[1] A New Era of SSRF， Black Hat，Orange，2017
[2] Punycode，垃圾桶，LZ1Y，2018年7月18日
3. 邮件服务器的搭建
然后我就要开始搭建域名邮箱了。其实 QQ 邮箱也有域名邮箱的功能，但是 QQ 邮箱对钓鱼有检测、会被封的，所以我们还是自己搭。
据说 centos6,7 有比较方便的平台，但是我们 Ubuntu 还是使用 Postfix+mailutils。参考：https://blog.csdn.net/sd4015700/article/details/21454729
在搭建 gophish 的同一台 VPS 上开始搭建邮件服务器：
第一步：安装 Postfix
apt-get install postfix
第二步：安装 mailx 软件包
apt-get install mailutils
第三步：增加测试用户 fmaster
useradd -m -s /bin/bash fmasterpasswd fmaster
第四步：测试
测试1：
测试2：
然后检查一下 QQ 邮箱，确实收到了：
然后QQ回复一封，看看我们的邮件服务器能不能收到：
收到了：
在这里我遇到的唯一一个坑是我之前绑定过QQ域名邮箱，我已经修改、删除了以前的MX记录并且更新了，但是依然无法回复邮件。最终注销了QQ域名邮箱才可以。
至此我们的邮件服务器也搭好了。
4. Gophish 活动建立
现在来开始创建钓鱼活动：
STEP1：在 Settings 页面修改下admin的默认密码，更加安全。
STEP2：编辑 Sending Profiles。
这个页面主要是设置发件人，那么为了给 Snow1ng 公司的人发，我就伪装为 admin@snowming.me。
另外一定要注意，这个host不要填邮件服务器的公网 IP，否则会出现拒绝中继访问错误，这是因为我们没有在postfix里面设置这个公网 IP。你当然可以选择去 Postfix 里面加入这个公网 IP。但是我们有更简单的方法。
因为我们的 Gophish 服务器跟邮件服务器搭在同一台 VPS 上面，所以在这里填写 127.0.0.1就好。
如图所示填写必要信息，邮件服务器的用户名密码可以不填（如果没有设置的话）。
填好之后可以按 Send Test Email 测试一下试试，发现收到了：
STEP3：编辑 Email Templates。
顾名思义，邮件模板，不再赘述。我只是简单的随便编了一个看上去比较虚伪的。注意可以添加附件。如图我添加了“雪茗私房照.exe”。雪茗私房照.exe又是另一个故事了。
Phishing Pretexts 这里收集了一些在实战中用到的发送钓鱼邮件的模版。https://github.com/L4bF0x/PhishingPretexts
可以适当改为中文用。事实上，在一次真实的邮件钓鱼中，直接索要账号密码的，得到了四十多个成功的账号密码（那个模板我还有但是私用就不发出来了）。所以不要怕编的不好，写就完事儿了。
STEP4：编辑 Users&Groups。
注意可导入CSV。
STEP5：编辑 Landing Pages。
在这里我随便导入了一个。因为我没感觉这个 Landing Pages 有啥用。但是这里还是要填写一下，因为后面在填写 Campaigns 时候是不能空字段的。
STEP6：编辑 Campaigns。
注意那个 URL 要填写 Gophish 监听器的端口。也就是之前在 config.json 中设置的第二个 URL：
设置好了之后按 Launch Campaign。
5. 效果展示
这里要注意的是：
1、 admin@snowming.me 可以发但是没法被回复，但是如果是 postfix 里面之前我们增加的用户 fmaster@snowming.me，就可以发也可以接收。所以如果想要 admin 账号也可以收到回信，那么在邮件服务器那里也要增加这个用户。
2、 发出之后的状态在 gophish 的 result 页面，不知道是因为网络还是因为我哪里没有设置好，就没有更新了。但是在邮件服务器可以看到回信。QQ 邮箱的邮件是 Base64 编码了的。
3、 邮件服务器可以设置支持Maildir风格的邮箱，更多细节设置参考：https://blog.csdn.net/sd4015700/article/details/21454729。
4、 如果你觉得自己搭建邮件服务器很麻烦，也可以使用QQ的域名邮箱，虽然面临被封的危险。
最后，有人上线就完事儿了💗
