Когда проводишь проекты по социотехническому тестированию, нередко сталкиваешься с кучей технических нюансов.
❗️Это и попадание в списки подозрительных ресурсов, если вы случайно выкинули GoPhish наружу.
❗️И фильтрация писем почтовыми шлюзами.
❗️И особенности отображения у разных почтовых клиентов.
Сегодня поговорим о том, с чем реально можно сталкнуться на практике. Особенно это актуально, если вы делаете такое впервые.
🔥Проблема 1. Как не попасть в списки злых хацкеров
Если просто открыть GoPhish в интернет, то через какое-то время ваш IP будет помечен как подозрительный.
💡Что делаем:
Используем связку из нескольких Nginx-прокси:
• наружу отдаётся только IP внешнего прокси;
• весь трафик уходит по VPN на внутренний сервер с GoPhish;
• админка доступна только из VPN.
Если не хочется поднимать VPN:
На сервере с GoPhish закрываем 443 порт снаружи, кроме ip нашего прокси:
sudo iptables -I DOCKER-USER -p tcp --dport 443 ! -s <proxy_ip> -j DROP
В конфиге Nginx дополнительно прописываем кому можно обращаться к нашей фишинговой странице:
allow <proxy_ip>;
deny all;
Админку вешаем на 127.0.0.1 и подключаемся так:
ssh -L 8080:127.0.0.1:8080 user@server_with_gophish
Остается только настроить SSL для нашего фишингового домена. Теперь GoPhish не светится наружу, и мы спим спокойно.
🔥Проблема 2. Спам-фильтры и почтовые шлюзы
Немного теории:
• SPF — указывает, какие IP могут отправлять письма от имени домена.
• DKIM — добавляет цифровую подпись к письмам.
• DMARC — объединяет SPF и DKIM, говорит, что делать с письмами, которые не проходят проверки.
Если вы некорректно настроите данные dns записи, то письма просто не дойдут до адресата.
💡Что делаем:
Используем SMTP-сервисы с хорошей репутацией. Например, VK WorkSpace.
Схема такая:
• Подключаем фишинговый домен;
• Сервис формирует SPF/DKIM/DMARC;
• Копируем записи в DNS.
Теперь письма проходят по всем стандартам (но это не точно).
Но даже если всё идеально настроено, то ваши фишинговые письма могут быть заблокированы на почтовых шлюзах. Причина - Email-заголовки.
Далее рассмотрим на примере с GoPhish:
Еще немного теории. Сильно не пинайте - это важно для понимания:
• Message-ID - уникальный идентификатор письма, формируется клиентом или сервером, помогает отслеживать сообщения и выстраивать цепочки переписки.
• X-Mailer - указывает на почтовую платформу или внутренний ID отправителя.
Именно они могут стать причиной того, что ваши фишинговы письма не дойдут до цели.
X-Mailer: gophish
Message-ID: <1743...@hostname>
X-Mailer палит GoPhish сразу.
Message-ID генерируется с hostname контейнера или вашего сервера на котором крутиться GoPhish. Почтовые шлюзы могут блокировать письма, если видят несоответствие между Message-ID и доменами из SPF, DKIM, DMARC.
💡Что делаем:
SMTP Relay с Postfix. GoPhish остаётся «тупым». Он просто отправляет письмо. А контейнер с Postfix:
1. Принимает письмо;
2. Переписывает заголовки;
3. Отправляет дальше на сторонний SMTP - сервис (в нашем случае VK Workspace)
Файл smtp_header_checks:
/^Message-ID:/ REPLACE Message-ID: <CAFEBABE.20250324T1830@your_domain>
PS: X-Mailer можно убрать и через GUI GoPhish. А вот Message-ID просто так не убрать.
Письма доходят, заголовки чистые. Все счастливы.
#redteam