Всем привет! ❤️ Немного про социалочку.

Когда проводишь проекты по социотехническому тестированию, нередко сталкиваешься с кучей технических нюансов.

❗️Это и попадание в списки подозрительных ресурсов, если вы случайно выкинули GoPhish наружу.
❗️И фильтрация писем почтовыми шлюзами.
❗️И особенности отображения у разных почтовых клиентов.

Сегодня поговорим о том, с чем реально можно сталкнуться на практике. Особенно это актуально, если вы делаете такое впервые.


🔥Проблема 1. Как не попасть в списки злых хацкеров

Если просто открыть GoPhish в интернет, то через какое-то время ваш IP будет помечен как подозрительный.

💡Что делаем:

Используем связку из нескольких Nginx-прокси:

• наружу отдаётся только IP внешнего прокси;
• весь трафик уходит по VPN на внутренний сервер с GoPhish;
• админка доступна только из VPN.

Если не хочется поднимать VPN:

На сервере с GoPhish закрываем 443 порт снаружи, кроме ip нашего прокси:

sudo iptables -I DOCKER-USER -p tcp --dport 443 ! -s <proxy_ip> -j DROP

В конфиге Nginx дополнительно прописываем кому можно обращаться к нашей фишинговой странице:

allow <proxy_ip>;
deny all;

Админку вешаем на 127.0.0.1 и подключаемся так:

ssh -L 8080:127.0.0.1:8080 user@server_with_gophish

Остается только настроить SSL для нашего фишингового домена. Теперь GoPhish не светится наружу, и мы спим спокойно.


🔥Проблема 2. Спам-фильтры и почтовые шлюзы

Немного теории:

• SPF — указывает, какие IP могут отправлять письма от имени домена.
• DKIM — добавляет цифровую подпись к письмам.
• DMARC — объединяет SPF и DKIM, говорит, что делать с письмами, которые не проходят проверки.

Если вы некорректно настроите данные dns записи, то письма просто не дойдут до адресата.

💡Что делаем:

Используем SMTP-сервисы с хорошей репутацией. Например, VK WorkSpace.

Схема такая:

• Подключаем фишинговый домен;
• Сервис формирует SPF/DKIM/DMARC;
• Копируем записи в DNS.

Теперь письма проходят по всем стандартам (но это не точно).

Но даже если всё идеально настроено, то ваши фишинговые письма могут быть заблокированы на почтовых шлюзах. Причина - Email-заголовки.

Далее рассмотрим на примере с GoPhish:

Еще немного теории. Сильно не пинайте - это важно для понимания:

• Message-ID - уникальный идентификатор письма, формируется клиентом или сервером, помогает отслеживать сообщения и выстраивать цепочки переписки.
• X-Mailer - указывает на почтовую платформу или внутренний ID отправителя.

Именно они могут стать причиной того, что ваши фишинговы письма не дойдут до цели.

X-Mailer: gophish
Message-ID: <1743...@hostname>

X-Mailer палит GoPhish сразу.
Message-ID генерируется с hostname контейнера или вашего сервера на котором крутиться GoPhish. Почтовые шлюзы могут блокировать письма, если видят несоответствие между Message-ID и доменами из SPF, DKIM, DMARC.

💡Что делаем:

SMTP Relay с Postfix. GoPhish остаётся «тупым». Он просто отправляет письмо. А контейнер с Postfix:

1. Принимает письмо;
2. Переписывает заголовки;
3. Отправляет дальше на сторонний SMTP - сервис (в нашем случае VK Workspace)

Файл smtp_header_checks:

/^Message-ID:/ REPLACE Message-ID: <CAFEBABE.20250324T1830@your_domain>

PS: X-Mailer можно убрать и через GUI GoPhish. А вот Message-ID просто так не убрать.

Письма доходят, заголовки чистые. Все счастливы.

#redteam

<продолжение>


🔥Проблема 3. Outlook и картинки

Письмо уходит, всё работает. Верстаем шаблон, отправляем и…

❗ Для защиты вашей конфиденциальности изображения не загружены

Наши картинки не отображаются. Почему? Outlook по умолчанию блокирует все внешние изображения.

💡Что делаем:

Первое, что можно попробовать - Base64:

<img src="data:image/png;base64,iVBORw...">

Способ хороший и отработает на большинстве современных почтовых клиентах. Однако Outlook все равно посчитает это внешним ресурсом и заблокирует.

Второй способ - Content-ID (CID).

Картинку прикладываем к письму как вложение, а в HTML пишем:

<img src="cid:image.jpg">

⸻

На этом все друзья! 🙂

А с какими проблемами сталкивались вы ? Делитесь в комментариях, обсудим вместе. 🤗

Ну и по традиции не забудьте подписаться на канал, если еще этого не сделали. И до новых встреч!

#redteam