Gophish(Phishing Framework) 사용법

이번에는 Gophish를 사용하기 위한 방법을 살펴보도록 하겠습니다. 아직 Gophish에 대해서 알고 싶거나 환경을 구축하지 못한 분들은 하단의 포스팅을 참고하시면 될 것 같습니다.

guleum-zone.tistory.com/141

Gophish(Phishing Framework) 설치

각 항목 설정방법

우선적으로 메일을 발송하기 전에 SMTP 및 발송하는 대상의 프로필을 설정해줘야 됩니다. New Profile을 클릭하시면 설정 화면이 나타납니다.

 

간단하게 지정후 전송이 되는지 확인해야 됩니다. Ignore Certificate Erros 옵션을 선택하면 "인증서" 관련 오류가 발생하는 것을 무시할 수 있습니다.

Name: 프로필을 식별하기 위한 이름 지정

Host: 지메일을 사용

Username&Password: 보내는 사람의 주소가 되며 임의의 계정이 아닌 유효한 계정(gmail)을 입력해야 됨

 

Sava Profile을 클릭하기 전에 "Send Test Email"을 클릭하여 성공적으로 메일 전송이 되는지 확인해야 됩니다. 서식은 따로 지정하지 않아도 default content로 전송됩니다.

 

테스트 메일을 받는 주소는 저의 지메일 계정으로 받도록 설정했습니다. 테스트 메일이기 때문에 다수의 사용자를 지정할 수 없습니다.

 

"Email Sent!" 메시지가 나타나면 성공적으로 전송이 되었을 겁니다. 초반에 여기서 에러 이슈가 발생하는데 대부분 gmail에 대한 액세스 설정을 하지 않았거나 유효하지 않은 계정을 입력하는 경우 발생됩니다.

 

구글 검색에 "보안 수준이 낮은 앱의 액세스"를 입력하시면 설정 위치를 쉽게 찾으실 수 있습니다. 메일을 전송하는 주축 계정의 앱 허용: 사용을 활성화해주시면 됩니다.

 

Gophish에 지정된 기본 메일이 전송된 것을 확인할 수 있습니다. 테스트 메일도 정상적으로 전달이 되었으니 이제 캠페인을 진행하기 위한 각각의 영역들 설정해주시면 됩니다.

 

랜딩 페이지는 피싱 메일을 클릭할 때 나타나는 HTML 페이지로 특정 로그인 페이지 주소를 긁어와 사용자들의 "자격 증명"을 가져오고 추가적으로 리다이렉트 시킬 수 있는 기능을 지원합니다.

 

해당 페이지에서 설정을 해주시면 됩니다. 주로 로그인 페이지를 띄워 사용자들의 정보를 훔쳐오는 용도로 사용됩니다.

Name: 어떤 피싱 페이지인지 식별하기 위한 이름

Import Site: 특정 로그인 페이지 주소를 가져와 사용

Capture Submitted Data: "자격증명"을 캡처 후 평문으로 표시

Redirect to: 자격증명을 수행 후 의심하지 않기 위해 리다이렉트 되는 페이지 지정

 

랜딩 페이지를 사용하기 전에 주의해야 될 점은 Gophish에서 타 사용자들의 자격 증명을 가져오기 위해 지정해둔 매개변수의 기준으로 값을 가져옵니다. 로그인 페이지가 제대로 submit 되지 않으면 매개변수와 값을 수 정해주실 필요가 있습니다.

 

그다음으로 사용자들 에게 전달될 "이메일 내용"을 선정해야 됩니다. 자신이 받은 메일의 템플릿의 소스를 가져와서 그대로 적용시킬 수 있습니다.

 

해당 화면에서 사용자들에게 전달할 이메일을 지정할 수 있습니다. 랜딩 페이지와 다르게 코드 수정 없이 외부의 메일 템플릿을 쉽게 가져와 사용할 수 있습니다.

Name: 이메일 템플릿을 식별하기 위한 이름 지정

Import Email: 외부에서 가져온 이메일 소스를 복사하여 적용

Add Tracking Image: 해당 링크에 응답한 사용자들을 추적하여 기록

Add Files: 저장해둔 파일 지정

 

만약 외부에서 받은 이메일 템플릿을 사용하고 싶다면 메일에서 "원본 보기"를 통해 클립보드 형식으로 가져오실 수 있습니다.

 

New Template에서 Import Email을 클릭하시면 Email Content 안에 소스를 작성할 수 있는데 좀 전에 긁어온 "클립보드"를 그대로 붙여 넣어주시면 메일 템플릿 응답 시 -> 랜딩 페이지로 넘어가도록 수정이 됩니다.

 

이제 마지막으로 어느 사용자들에게 전송할 것인지를 정해야 됩니다. Gophish의 경우 대부분 그룹 형식으로 전송하는 게 일반적이므로 CSV를 통해 다수의 리스트를 쉽게 지정할 수 있도록 지원하고 있습니다.

 

메일을 받는 인원이 소수일 경우 "Add" 기능을 통해 한 명씩 추가해 주실 수 있습니다. 테스트를 위해 제 개인 지메일 계정 1개만 추가했습니다.

Name: 어느 그룹 또는 부서를 대상으로 보낼 것인지 이름 지정

 

설정한 내용들을 토대로 본격적으로 캠페인을 진행하도록 하겠습니다. 한번 시작한 캠페인은 수정할 수 없으며 추가적으로 다시 진행하는 방식으로 해야 됩니다. 또한 우측 그래프의 모양은 "view result"로 현황을 쉽게 확인할 수 있게 해 줍니다.

 

전 단계에서 설정한 발송할 프로필, 랜딩 페이지, 템플릿, 받는 그룹을 선택해주시면 됩니다. 여기서 중요한 것은 URL 설정입니다. 피싱 서버 주소가 제대로 설정되지 않으면 404페이지를 띄우게 됩니다.

 

Gophish 디렉토리에는 "config.json" 파일이 존재하는데 내용을 보시면 phish_server 라인이 존재합니다. 여기에 지정해둔 값과 동일하게 작성해주셔야 됩니다.

* 기본적으로 0.0.0.0:80 으로 설정되어 있으며 포트는 겹치지 않도록 netstat -an 하여 확인 필요

 

캠페인이 시작되면 확인하기 쉽게 대시보드 형식으로 나타납니다. 특정 이벤트가 발생될 경우 실시간으로 현황이 변경되며 어떤 상태인지 나타내 주기 때문에 발송이 되었는지 안되었는지 유추가 가능합니다.

 

대시보드 하단의 "Details"에는 발송받은 계정이 어느 행위까지 진행되었는지 자세하게 확인할 수 있습니다. 만약 사용자가 "자격 증명"을 수행할 경우 해당 영역에 평문으로 나타나게 됩니다.

 

Gophish가 편리한 이유 중 하나는 이메일 탬플릿을 가져올 때 자동으로 메일 제목까지 선정하여 전달되는 장점이 있습니다. 메일을 열람해 보겠습니다.

 

열람한 메일에는 한 개의 버튼이 존재했는데 Gophish를 사용하여 해당 버튼에 랜딩페이지로 가도록 링크가 자동으로 삽입되어 있는 것을 보실 수 있습니다.

 

랜딩 페이지 내부에는 "자격증명"을 캡처하기 위한 로그인폼이 존재합니다. 만약 사용자가 쉽게 현혹되어 로그인을 수행하게 되면 Gophish에서 특정 매개변수를 파악해 입력한 값을 대시보드에 나타내 줍니다.

 

테스트를 위해 랜딩페이지 설정 하단에 redirect URL 설정을 Goole.com으로 지정해뒀습니다. 만약 구글이 아닌 랜딩페이지와 연관된 정상 도메인으로 연결시키면 사용자들은 쉽게 의심하지 않게 됩니다.

 

대시보드로 돌아가 진행 현황을 보면 submitted까지 완료된 것을 보실 수 있습니다.

 

자세한 결과를 보시면 설정해둔 값을 기준으로 메일을 클릭한 사용자와 그에 따른 "자격증명" 값을 저장해 보여주는 것 을 확인할 수 있게 됩니다.