企业钓鱼演练平台搭建gophish+ewomail

原创 已于 2025-07-24 15:38:26 修改 · 1k 阅读 · 10 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#安全 #网络 #web安全 #网络安全

于 2025-07-23 20:02:23 首次发布

gophish+ewomail 搭建钓鱼演练平台

本人查阅网络上绝大部分资料，踩完所有搭建的坑，网络所有资料全部存在坑点，无一能搭建成功，经过本人不断尝试并重装系统，由此产生了这篇文章。

本人贪图方便，用的是国内的云服务器和国内的域名搭建

搭建注意

  1. 如果你购买的云服务器和域名都是国内的，请先进行域名备案和做好DNS反向解析，并且需要在控制台–> 安全管控–> 申请25端口解封，否则搭建的ewomail邮箱服务器是发不出邮件的。

在这里插入图片描述

  1. 如果你购买的云服务器和域名都是国外的，那就不用备案，25端口在自己的vps上全部放通即可，同样也要做好域名解析，建议挂载在cdn上。
  2. 配置安全策略，出入站端口全部都放通。
    在这里插入图片描述
    在这里插入图片描述

使用工具

  1. 购买云服务器版本为ubuntu 24

在这里插入图片描述

  1. 购买域名 xxx.example.com （随便买个域名）
    国内域名购买：阿里云、腾讯云
    国外域名购买： （具体购买操作看本人文章 域名隐藏上线）

DNS域名配置

  1. 本人购买的腾讯云的域名，先将域名和购买的VPS的ip进行绑定，具体配置参数可以参考ewomail官网给的文档，可以下载他的execl表进行复制粘贴，然后再进行修改。官方DNS配置文档

在这里插入图片描述

  1. 看不懂的话，就看本人DNS的配置，可以参考去配置。注意，dkim的值需要自己进入docker容器用命令来获取。

在这里插入图片描述

  1. 只有购买了域名后去下载ewomail才可以指定域名进行绑定
    ，才可以访问到后台。

gophish搭建

  1. 使用购买的云服务器下载gophish.zip ，可以在github上找到，想要下载哪个版本就下载哪个版本。

下载gophish

  1. 下载后，将zip文件上传到自己的vps上进行解压
mkdir gophish 
unzip gophish-v0.12.1-linux-64bit.zip -d gophish
  1. 解压完成后进入gophish目录，给gophish文件加可执行权限，同时修改config.json文件，将管理地址改成0.0.0.0，让任意用户访问到。
cd gophish
chmod +x gophish
vim config.json

在这里插入图片描述

  1. 自此gophish搭建已经完成，可以执行 ./gophish进行开启后台页面进行配置使用，第一次运行会给你显示账号和密码，利用给的账号密码进行登录，部署在公网的记得进去后更改密码。

在这里插入图片描述
5. 登录到后台，自此gophish搭建已经完成。
在这里插入图片描述

在这里插入图片描述

ewomail邮件服务器搭建

  1. 利用docker来拉取ewomail的镜像进行搭建（由于前面文章写过搭建docker和docker-compose环境，这里不再继续描述，有兴趣的可以看之前文章，如果之前文章拉取不了，只能找其他文章）
docker pull bestwu/ewomail
  1. 拉取完成后进行开启镜像，这里 mail.ewomail.com 写 自己的域名
docker run  -d -h mail.ewomail.com --restart=always \
-p 40025:25 \
-p 109:109 \
-p 110:110 \
-p 143:143 \
-p 465:465 \
-p 587:587 \
-p 993:993 \
-p 995:995 \
-p 40080:80 \
-p 48080:8080 \
-v `pwd`/mysql/:/ewomail/mysql/data/ \
-v `pwd`/vmail/:/ewomail/mail/ \
-v `pwd`/ssl/certs/:/etc/ssl/certs/ \
-v `pwd`/ssl/private/:/etc/ssl/private/ \
-v `pwd`/rainloop:/ewomail/www/rainloop/data \
-v `pwd`/ssl/dkim/:/ewomail/dkim/ \
--name ewomail bestwu/ewomail

开启后docker ps 看看运行状态
在这里插入图片描述
3. 进入容器进行配置，生成 DKIM 密钥

docker exec ewomail amavisd showkeys

在这里插入图片描述

  1. 将密钥复制下来，去ewomail的官网找到dkim设置，按官网步骤进行复制整理，整理出来的值复制到前面自己域名解析设置的dkim值中。

dkim设置

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述
5. 自此，ewomail已经搭建完毕，可以访问到后台。

http://yourip:48080/Center/Index/login

在这里插入图片描述
在这里插入图片描述

  1. 添加邮箱账户

在这里插入图片描述
在这里插入图片描述

7.进行登录 访问 http://yourip:40080/ 输入前面设置的账号密码进行登录

在这里插入图片描述

在这里插入图片描述

自此，ewomail已经完成搭建。

钓鱼使用方法

  1. 访问gophish管理页面，继续一系列的配置。

在这里插入图片描述

  1. Users & Groups 配置， 点击new group 进行新增

在这里插入图片描述

  1. Email Templates 配置 ，可以上qq邮箱查看邮件，查看邮件原文进行复制张贴，代码好的可以自己手搓一个邮件内容。

在这里插入图片描述
在这里插入图片描述

  1. Landing Pages 设置，这个是克隆网站的，可以克隆登录的页面，自己改html代码。本人这里做测试，所以克隆的是ewomail的登录网站。请注意，克隆的页面只是单纯页面，没js和css文件，所以很多时候需要自己继续更改代码。

在这里插入图片描述

在这里插入图片描述

  1. Sending Profiles 设置。这个十分重要 。这里的邮件服务器也可以调用QQ的，企业邮箱的，公司邮箱的等。只要按网上的步骤获取授权码，填写进去即可（这些可以参考网上教程）。Password 是smtp服务认证的密码，例如网易邮箱，需要在登录网易邮箱后，点击 设置 - 账户 - 开启SMPT服务 生成授权码，Password的值则可以填收到的授权码。QQ同理

在这里插入图片描述

  1. Edit Template 中的那个是显示给对方的邮件发件人，这里的发件人会显示是由谁代发。

在这里插入图片描述
自此已经设置完毕，可以开始钓鱼测试。

实战测试

  1. 利用gophish去发送邮件到受害方

在这里插入图片描述

在这里插入图片描述

  1. 发送后会在仪表盘进行监听

在这里插入图片描述

  1. qq收到邮件，进行打开查看

在这里插入图片描述

在这里插入图片描述

  1. 点击超链接会跳转到我们设置的ewomail的登录钓鱼页面（到时候可以自己搞要钓的页面）

在这里插入图片描述

  1. 输入密码后点击立即登录，会显示登录失败，正在跳转，2s后会跳转到你要跳转的页面，例如百度。

在这里插入图片描述

会跳转到百度
在这里插入图片描述
7. 查看钓鱼仪表板，可以发现接受到数据。

在这里插入图片描述

在这里插入图片描述

坑点回顾

  1. 网上很多办法都是用centos搭建的，centos搭建ewomail服务器会比较简单，就一条命令的事情，但是后面搭建gophish的时候搭建不起来，会显示GLIBC库版本过低的问题，一条条又得去安装依赖，还是会不成功。centos安装依赖不成功，不知什么原因，通过centos搭建的大佬可以留言教一下。
  2. 当登录ewomail后台服务器的时候，会显示域不允许，这时候需要检查你的dns解析是否有问题，可以修改/etc/hosts文件，在下图圈圈下面一行添加 127.0.0.1 mail.xxx.com xxx.com imap.xxx.com smtp.xxx.com xxx.com用自己的域名。
    官方修改host文件文档

在这里插入图片描述
3. 如果是docker 和docker-compose 拉取不了镜像问题，，多拉取几次，且需要配置好国内镜像，配置如下图所示，docker-compose可以通过gitee下载。

在这里插入图片描述

写在最后

不想购买云服务器和域名的，可以自己在内网搭建，流程一样。国外的VPS只需配置好国外的域名解析即可，其他的比国内方便。

该文章仅限于安全技术交流，请勿利用该方式触犯国家法律法规，如有踩红线者，与本人无关。

企业级钓鱼演练平台搭建+踩坑指南
m0_60767986的博客
12-18 1161
3.EwoMail使用centos7.8搭建踩坑，使用官方华为云搭建centos7.8的服务器，可以直接按照EwoMail官方的安装手册无报错安装成功，使用一些小型/私有的云服务器网站购买的云服务器，会出现yum源不可用的报错，并且也有可能出现。我们可以随意更换映射VPS的端口，例如。没事，我们也有解决办法，购买正规云平台的云服务器，或者，将正规云服务器的yum源文件下载下来，替换到你自己的云服务器中。这里也有一个坑，就是官方调用的虚拟环境，也是存在问题的，和上面提到的第2点一样，yum源有问题。
必看！邮件钓鱼入门到入土
Appleteachers的博客
05-07 3194
在大型企业边界安全做的越来越好的情况下，不管是 APT 攻击还是红蓝对抗演练，钓鱼和水坑攻击被越来越多的应用。 一、邮件安全的三大协议 1.1 SPF SPF 是 Sender Policy Framework 的缩写，中文译为发送方策略框架。 主要作用是防止伪造邮件地址。 由于发送电子邮件的传统规范 - 1982年制定的《简单邮件传输协议（SMTP）》对发件人的邮件地址根本不进行认证，导致垃圾邮件制造者可以随意编造寄件人地址来发送垃圾信，而接收者则毫无办法，因为你无法判断收到的邮件到底是谁寄来的。 在SP
钓鱼邮件测试平台搭建Gophish+EwoMail+DKIM
归零者的博客
06-23 3043
本文采用CentOS7搭建钓鱼邮件测试，本人采用Gophish作为钓鱼邮件测试平台，采用EwoMail搭建邮件服务器，申请域名进行绑定，并配置SPF+DKIM提升邮件评级可信度。
【网络安全实战】GoPhish+EwoMail搭建企业级钓鱼演练平台
shandongjiushen的博客
12-01 1万+
钓鱼演练核心是gophish
【Ewomail-Gophish钓鱼邮件测试】
一纸荒芜的博客
06-23 5416
公司准备进行企业内部钓鱼邮件测试，了解企业员工网络安全意识，由此搭建钓鱼邮件实验平台简单模拟，为项目实施提供思路。
钓鱼指北 Gophish钓鱼平台和邮件服务器搭建
热门推荐
god_Zeo的安全博客
01-20 1万+
0x00 攻防演练钓鱼行动方案 起因，在大型攻防演练中，传统的web层面Nday打点突破难点变大，于是越来越多的攻击队会加入钓鱼行动中，本文章就常规邮件的钓鱼进行介绍，后续还有IM这种也是很有效的方式。 0x01 搭建Gophish钓鱼平台 Gophish 是一个功能强大的开源网络钓框架，安装运行都非常简单。 Github 地址：https://github.com/gophish/gophish 1、下载 https://github.com/gophish/gophish/releases 下载对应的版
Phishing钓鱼邮件平台搭建
QXXXD的博客
06-28 2006
Phishing钓鱼邮件平台搭建
【钓鱼邮件！】一枚合格的鱼饵是什么味道【上】环境+钓鱼服务器搭建+邮件隐蔽性与可信
tamchikit的博客
02-28 8599
环境+钓鱼服务器搭建+邮件隐蔽性与可信
邮件钓鱼平台搭建以及基础使用场景，从零基础到精通，收藏这篇就够了！
Libra1313的博客
04-02 1904
现在红蓝对抗，邮件钓鱼越来越火了，简直是居家旅行、攻城拔寨必备良药！但是，项目周期短，还得统计数据，所以这次咱就玩点实在的，教你如何用和快速搭建邮件钓鱼平台，再来一场实战演练！好了，概念讲完了，咱们开始搭环境吧！
记一次使用gophish开展的钓鱼演练
hongduilanjun的博客
08-01 1095
钓鱼演练
【2023】无痕制作钓鱼邮件
hongduilanjun的博客
08-01 2792
进入后台后，左边的栏目即代表各个功能，分别是Dashboard仪表板Campaigns钓鱼事件Users & Groups用户和组Email Templates邮件模板Landing Pages钓鱼页面Sending Profiles发件策略六大功能，接下来逐一介绍此功能。整个钓鱼邮件就搭建好了，这里和以往其他文章不一样的地方在于新增了https协议让其看起来更真实，使用了cdn让蓝队增加溯源难度，更加贴合红队以及常见钓鱼攻击者的攻击手法。
从零开始学习网络安全渗透测试之信息收集篇——（一）Web应用&企业产权&指纹识别&域名资产&网络空间&威胁情报&源码泄漏&开源闭源&指纹识别&GIT&SVN&DS&备份
love6a6的博客
08-14 1921
明确目标之后，我们要对目标的信息进行收集，有时候甲方进行授权时，给我们的信息很少，刁难你一下，比如就给你一个IP地址，让你自己找一下我们有多少域名、IP地址、对外资产信息有哪些等等，我们就需要自行模拟黑客攻击流程，对企业的各类信息进行收集，其实不管是企业也好，还是你自己个人也好，想要测试某个网站的安全性，都要对这个网站的各类信息进行收集。
Fabarta个人专属智能体限时体验中：高效、安全的长文写作新搭档
Fabarta的博客
08-01 388
此外，报告还提到了数据孤岛、数据质量不高的问题，这些都阻碍了企业的跨域协同，也降低了企业的数据向知识转化的效率。在保证用户的资料、文件与数据完全私密不泄露的情况下，该产品完美融合了用户本地数据与互联网上可以触达的公开信息，快速应答用户的各类请求与问题。1）王律师基于个人构建好的本地知识库，输入需求：“分析本案胜诉关键点，撰写金融借款合同纠纷证据规则实务指南，引用3个类案，字数2000左右”；5）智能体生成专业化内容，王律师可实时调整个别段落，对不满意的段落进行改写、润色，插入类案对比等；
关于Web前端安全之XSS攻击防御增强方法
xyphf的博客
08-03 772
仅依赖前端验证是无法完全防止 XSS的，还需要增强后端验证，使用DOMPurify净化 HTML 时，还需要平衡安全性与业务需求。
金融专题｜某跨境支付机构：以榫卯企业云平台 VPC 功能保障业务主体安全
SmartX 超融合
07-31 726
业务隔离，灵活互访，安全管理，精简运维。
Web 安全之开放重定向攻击（Open Redirect ）详解
路多辛的所思所想
08-03 591
摘要： 开放重定向漏洞存在于网站不安全处理用户可控URL时，攻击者通过构造恶意链接将用户从可信网站重定向至钓鱼或恶意网站。攻击流程包括诱骗用户点击、服务器执行重定向、最终实施窃取信息等攻击。防范措施包括避免直接使用用户输入URL、实施白名单验证、使用相对路径及重定向确认页面。该漏洞虽不直接破坏系统，但会显著提高钓鱼攻击成功率，需通过严格验证和定期安全审计加以防范。（149字）
安全扫描：目标主机支持RSA密钥交换问题
最新发布
weixin_50859396的博客
08-04 375
Nginx中禁用RSA加密算法需配置ssl_ciphers排除所有含RSA的套件，仅保留ECDSA等非RSA算法。具体步骤：1)修改配置文件，设置ssl_ciphers为HIGH:!aNULL:!MD5:!RSA；2)推荐使用ECDSA证书；3)验证配置后重载Nginx。注意事项：需确保使用ECDSA证书避免兼容问题，且评估客户端支持情况。该方案能提升安全性，避免RSA潜在风险。
OAuth 2.0 的安全升级版授权协议 OAuth 2.1 详解
路多辛的所思所想
08-02 665
OAuth 2.1 是对 OAuth 2.0 协议的一次重大更新，废弃了不安全的用法，整合了最新的安全实践，从而提高了协议的安全性和易用性。虽然“OAuth 2.1”从名称上看起来像是一个全新的版本，但实际上并非对 OAuth 2.0 的彻底的颠覆，其实是 OAuth 2.0 的最佳实践集合，整合了多年来社区反馈的最佳使用方式并做了必要的安全性改进。
深入了解 BODAS 控制器 RC/3x 和 RC/4x：从功能到安全的全方位指南
电工
08-04 566
在安装控制单元时，需确保其避免与其他车辆部件和附加安装元件发生碰撞，不同型号的控制器有不同的推荐螺钉尺寸和最大紧固扭矩要求，例如 RC4-5 系列 30 推荐使用 M4、头部直径 > 7mm 的螺钉，带垫圈时最大紧固扭矩为 3.0Nm，不带垫圈时为 2.5Nm。安装前，必须准备好产品专用数据表（包含允许的技术数据、标准版本的主要尺寸和电路图）。同时，控制器仅供专业使用，不可用于私人用途，且其和制造商开发并安装的软件必须保持原状，不允许进行结构上的改动，禁止对制造商开发的软件产品进行反编译和修改其源代码。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值