Gophish là công cụ phishing mã nguồn mở được thiết kế dành cho pentesters và các doanh nghiệp để tiến hành các chiến dịch lừa đảo. Nó có thể hỗ trợ thiết lập dễ dàng và nhanh chóng. Mục đích đằng sau sự phát triển của công cụ này là đào tạo nâng cao nhận thức bảo mật bằng cách mô phỏng các cuộc tấn công lừa đảo thực sự.

Gophish: Mã nguồn Phishing

Các tính năng của Gophish cho phép người dùng của nó thiết lập và thực hiện các cuộc tấn công phishing trong một giao diện dễ sử dụng. Bộ công cụ này rất mạnh và còn là mã nguồn mở cho bất kỳ ai muốn mô phỏng các cuộc tấn công phishing. Điều đặc biệt là nó được thiết kế cho các doanh nhân và pentersters.

Các bài viết liên quan

Nền tảng của Gophish là JSON API, giúp việc phishing dễ dàng hơn cho các sysadmins (system admins) và các nhà phát triển. Gophish sử dụng Gophish API để thu thập thông tin cho một chiến dịch cụ thể. Bạn còn có thể tạo một bản báo cáo giống như excel. Trong phần mềm, có các công cụ có sẵn như landing pages, templates (các chiến dịch mẫu), giúp tạo ra một chương trình mô phỏng hoàn toàn tự động để phishing. Tính năng này được sử dụng để thiết lập các chiến dịch như vậy có thể chạy tự động trong suốt cả năm (nghe ngầu vãi).

Xem thêm: Cách tạo VPS miễn phí từ UCloud không cần VISA

Tính năng:

Cài đặt bằng 1 cú click
Đầy đủ REST API
GUI dễ sử dụng
Đa nền tảng (Windows, macOS, Linux)
Python API Client
JSON API (có tài liệu API luôn)
Templates & Landing Pages
Dể dàng thiết lập và thực hiện các cuộc chiến dịch phishing

Cài đặt Gophish trên Linux

Gophish rất dễ cài đặt. Nói vậy thôi, mình mò hơn 1 ngày trời mới cài đặt được đó. Nhưng các bạn không cần lo, đã có mình làm chuột bạch rồi. Tất cả những gì bạn cần làm là làm theo các bước dưới đây thôi.

Mở terminal
Gõ lệnh: sudo mkdir /opt/gophish. Lệnh này tạo 2 thư mục là opt và gophish trong thư mục home
Sau đó các bạn truy cập vào thư mục gophish bằng lệnh:cd /opt/gophish
Tiếp theo các bạn tải gophish bằng lệnh (thay 64bit thành 32bit nếu bạn dùng Linux 32bit):sudo wget https://github.com/gophish/gophish/releases/download/v0.9.0/gophish-v0.9.0-linux-64bit.zip
Giải nén file vừa tải bằng lệnh: sudo unzip gophish-v0.9.0-linux-64bit.zip
Các bạn cài đặt tmux bằng lệnh: sudo apt-get install tmux
Tiếp tục nhập lệnh: tmux new –s gophish *
Cuối cùng nhập lệnh: sudo ./gophish Nó mà hiện mấy dòng OK vậy là được rồi đó. Mấy dòng ởở dưới đừng để ý.

Cài đặt Gophish trên Windows

Truy cập trang download gophish. Chọn phiên bản 32 hoặc 64bit tùy vào hệ thống của bạn.
Giải nén file vừa tải.
Chuột phải vào file gophish.exe chọn Run as Adminstrator.
Nếu Windows chặn không cho cài thì bạn nhấn More Info -> Run anyway
Nếu nó hiện bản thông báo này ra thì chọn yes. Firewall đang chặn gophish truy cập vào network thôi.

Vậy là xong rồi đó.

Cách sử dụng Gophish

Các bạn truy cập vào link: 127.0.0.1:3333. Nếu các bạn không truy cập vào được link nghĩa là trong quá khởi động file gophish đã gặp lỗi. Cách tốt nhất mà mình thường làm để fix là khởi động lại máy.

Xem thêm: Cách Phishing Password không cần lập trình với Z-Shadow

Username là admin, còn pass là gophish. Trình duyệt sẽ cảnh báo các bạn về trang này nhưng đừng quan tâm cứ tiếp tục truy cập web.

1. Tạo Users & Groups – Đối tượng phishing

Users & Group là nhóm các đối tượng bạn sẽ gửi mail phishing.

Mail đóng vai trò victim là [email protected] Sau khi điền thông tin, nhấn Add. Bạn cũng có thể add thêm nhiều mail victim khác, không giới hạn nhé. Cuối cùng nhấn Save Change.

2. Email Templates – Nội dung mail phising

Sau đó bạn vào mail chính của mình. Vô phần danh mục -> Mạng xã hội, kiếm đại mail nào đó. Mình kiếm được mail google. Bạn cũng có thể kiếm mail youtube, google,… hay gì cũng được. Tùy thuộc vào thứ mà bạn muốn phishing. Ở đây, mình phishing gmail.

Nhấn vào 3 dấu chấm, chọn “Hiển thị thư gốc” hoặc “Show original”. Bạn sẽ được điều hướng sang một trang khác. Ở trang này, nhấn “sao chép vào khay nhớ tạm” hoặc “copy to clipboard”.

Tiếp theo quay lại trang gophishing, nhấn Import Email.

Các bạn paste nội dung vừa copy vào đây. Sau đó nhấn Import. Thay đổi nội dung mail sao cho thật hấp dẫn và thật nhất. Đây là nội dung email mình đã thay đổi.

Sau khi khi thay đổi nội dung xong thì nhấn Save Change.

3. Landing Page – Tạo trang phishing

Nhấn New Page -> Import Site. Các bạn paste link trang mình muốn tạo phishing vào. Ví dụ ở đây mình lấy link của trang đăng nhập Google.

Sau khi Import xong. Nhấn Capture Submitted Data. Các bạn paste link vừa import vào mục Redirect to.

Cuối cùng nhấn Save Page.

4. Sending Profiles – Tạo mail attacker

Xem thêm: Đăng ký Host 2 năm miễn phí có SSD và DDOS Protection

Đây là mail đóng vai trò attacker: [email protected] Mail này sẽ thực hiện gửi các mail phishing cho victim bạn đã thêm vào ở Users & Groups.Các bạn có thể thay đổi các phần khác, còn phần Host thì không được thay đổi. Host đó chỉ áp dụng cho mail của google thôi nhé. Các mail có đuôi @gmail.com là mail của google.

Sau khi thay đổi xong, kéo xuống dưới chọn Send Test Email.

Nhập mail victim vào, mấy ô còn lại ghi gì cũng được. Nhấn Send.

Nếu bạn gặp lỗi giống hình thì truy cập vào link này. Đăng nhập bằng mail attacker. Bật quyền truy cập. Sau đó thử Send Email lại.

Nó hiện như vậy là thành công rồi đó.

Cuối cùng nhấn Save Profile.

5. Campaigns – Khởi động chiến dịch

Chỗ URL điền giống mình. Cuối cùng nhấn Launch Campaign.

Đây nội dung mail victim sẽ nhận được.

Sau khi victim mở email sẽ nhận được nội dung sau.

Khi victim nhấn Kiểm tra hoạt động. Web sẽ điều hướng đến trang phishing mình đã tạo trước.

Mình sẽ điền email của attacker là [email protected]

Sau khi đăng nhập xong, quay lại trang gophish.

Để xem được email mình vừa phishing. Chọn Dashboarđ -> View Result.

Và đây là kết quả.

Mình đã thử phishing Facebook nhưng không được. Các bạn nào phishing Facebook được thì bình luận cho mình biết nhé.

Cách phòng chống

Cách phòng chống các vụ phishing này cũng rất đơn giản:

Cân nhắc trước khi nhấp vào link của người khác. Dù là bạn cũng nên nghi ngờ, mình từng dụ một thằng bạn vô trang phishing rồi nên hiểu.
Kiểm tra địa chỉ trang web trước khi thực hiện việc điền user và pass.
Còn lười quá thì cài các extension bảo vệ trình duyệt như J2team,….