XUT_ / COURSES / PENETRATION TESTER

Using GoPhish

Courses/Penetration Tester/red teaming/initial access/phishing

En esta tarea veremos cómo configurar GoPhish, mandando una campaña de phishing y capturando credenciales de un sitio web suplantado.

Primero, lanzamos la máquina y nos conectamos a la URL de login de GoPhish.

Using GoPhish

Deberías ser capaz de iniciar sesión con admin:tryhackme.

Perfiles de Mandado

Los perfiles de mandadoo son los detalles de conexión requeridos para mandar los emails de phishing. Es simplemente un servidor SMTP al que tienes acceso. Haz click en el link Sending Profiles en el menú de la izquierda y luego en el botón New Profile.

Luego, añade la siguiente información:

  • Nombre: Local Server
  • De: noreply@redteam.thm
  • Host: 127.0.0.1:25

Using GoPhish

Luego haz click en Save Profile.

Páginas de Aterrizaje

Ahora vamos a configurar la página de aterrizaje. Esta es la página web a la que el email de phishing va a redirigir a la víctima. Esta página suele ser una web suplantada con la que la víctima esté familiarizada.

Haz click en el ling de Landing Pages en el menú izquierdo y luego click en el botón New Page.

Dale a la página el nombre ACME Login, luego en la caja HTML, necesitarás presionar el botón Source para permitir introducir el código HTML como se muestra:

html
<!DOCTYPE html>  
<html lang="en">  
<head>  
    <meta charset="UTF-8">  
    <title>ACME IT SUPPORT - Admin Panel</title>  
    <style>        body { font-family: "Ubuntu", monospace; text-align: center }  
        div.login-form { margin:auto; width:300px; border:1px solid #ececec; padding:10px;text-align: left;font-size:13px;}  
        div.login-form div input { margin-bottom:7px;}  
        div.login-form input { width:280px;}  
        div.login-form div:last-child { text-align: center; }  
        div.login-form div:last-child input { width:100px;}  
    </style>  
</head>  
<body>  
    ## ACME IT SUPPORT  
    ### Admin Panel  
    <form method="post">  
        <div class="login-form">  
            <div>Username:</div>  
            <div><input name="username"></div>  
            <div>Password:</div>  
            <div><input type="password" name="password"></div>  
            <div><input type="submit" value="Login"></div>  
        </div>    </form></body>  
</html>

Haz click en el botón Source de nuevo y deberías ver una caja de login con los campos username y passord. Haz click en la caja Capture Submitted Data y también en la Capture Passwords y por último en el botón Save Page.

Using GoPhish

Plantillas de Email

Este es el diseño y contenido del email que vas a mandar a la víctima. Necesita ser persuasivo y contener un link a tu página de aterrizaje para permitirnos capturar el nombre de usuario y contraseña de la víctima. Haz click en Email Templates en el menú izquierdo y luego click en el botón New Template. Dale a la plantilla el nombre de Email 1, el asunto de New Message Received, haz click en la pestaña HTML y luego en el botón Source para habilitar el HTML. En los contenidos escribe un email persuasivo que convencería al usuario a hacer click en el link. El texto del link tendrá que ser configurado a lo que quieras, pero el link real será configurado con {{.URL}}.

Using GoPhish

Using GoPhish

El email debería verse así:

Using GoPhish

Usuarios y Grupos

Aquí es donde podemos almacenar las direcciones de email de nuestros objetivos. Haz click en el link Users & Groups en el menú izquierdo y luego click en el botón New Group. Dale el nombre al grupo Targets y añade las siguientes direcciones de email:

  • martin@acmeitsupport.thm
  • brian@acmeitsupport.thm
  • accounts@acmeitsupport.thm

Haz click en el botón Save Changes.

Using GoPhish

Campañas

Ahora es hora de mandar los primeros emails. Haz click en Campaigns en el menú de la izquierda y luego en New Campaign. Configura los siguientes valores:

Nombre: Campaign One Plantilla de Email: Email 1 Página de Aterrizaje: ACME Login URL: La IP dada. Día de Lanzamiento: Para este lab configúralo a hace 2 días, para asegurarnos de que no hay complicación con diferentes zonas horarias (en un entorno real sería la real). Perfil de Mandado: Local Server Grupos: Targets

Una vez completado, dale a Launch Campaign, lo que producirá un prompt de ¿Estás seguro?, donde le damos a Launch.

Using GoPhish

Serás redireccionado a la página de resultados.

Resultados

Los resultados nos dan una idea de cómo va la campaña de phishing haciéndonos saber cuántos emails han sido entregados, abiertos, clickados y cuántos usuarios han subido información a nuestra página.

Verás al final de la pantalla un desglose por cada dirección de email. Notarás que tanto Martin como Brian an sido mandados exitosamente mientras que accounts ha tenido un error.

Using GoPhish

Podemos profundizar en el error haciendo click en el menú desplegale en la flecha y mirando los detalles del error, en donde vemos que el usuario es desconocido.

Using GoPhish

Después de un minuto y decir que has seguido las instrucciones correctamente, verás que el estatus de Brian cambia a Submitted Data.

Using GoPhish

Expandiendo los detalles de Brian, y luego ver los detalles de la información subida, podemos ver el nombre de usuario y contraseña de Brian.

Using GoPhish