记一次对抗中的钓鱼

最近一段时间都在忙于考证和挖CNVD（主打一个随缘捡漏），所以很少来写文章了，提前祝各位师傅节日快乐，主要分享一下之前项目中的钓鱼突破到内网，最近刚好有师傅赋能提起钓鱼专题。

无论是GFYL还是红队项目外网打点尤为重要，没day且WAF贼猛的情况下，可能就是一个站看一天，可迂回采用🎣的方式突破进入到内网。笔者钓鱼这一块也是刚入门，师傅勿喷

某教育红队钓鱼

外网已经被打了N遍了，开始搜集外网邮箱，各种谷歌语法搜索，发现相关邮箱，举例如下

有了邮箱下一步采用什么主题进行发送，让🐟更容易上钩，时间刚好接近年底某节日放假，故直接搜索一波目标单位之前的节日放假内容

仿造目标单位之前的节日放假话术，根据收集的邮箱进行批量发送，邮箱可以采用如GoPhish等，简单说一下自己常用的木马伪装技巧。

1、图标采用word或者pdf，然后压缩一下，增加可信度 2、增加多个空格将exe进行隐藏，降低发现的概率

2、非常建议配置CS上线提醒 https://github.com/lintstar/CS-PushPlus

下一步开始批量发送，由于环境恢复快照了，没有之前批量发送的截图，还好留存了点击某个用户的发送截图，信息敏感打🐎比较严重，见谅

等待了一会儿，一个🐟儿都没有上钩，等到干饭的时候，突然叮叮几声，应该是上线了，此时却没有办法远程CS，毕竟干饭才是第一

1、上线之后立刻进行维持权限、迁移进程等操作 2、避免在干饭的时候上线之后没办法进行远程操作，进程迁移插件

https://github.com/AA8j/SecTools/tree/main/CS/AutoProcessMigration

后续加载各种插件读取浏览器密码，权限维持，密码复用内网探测了，相信师傅们都很有经验了

某企业红队钓鱼

前期已通过外网打点拿到部分shell，但始终未突破到核心的内网中去，经过各种打探了解到客户单位近期一直对弱口令进行通报，故以该主题进行钓鱼配合木马附件，成功率应该比较高。

某个用户点击上线之后，没一会儿用户应该是发现了，使用某厂商杀软进行查杀和清理，但貌似没查杀出来，尽快迁移进程，防止掉线。

日常中除了钓主机权限，钓账户密码也非常重要，某企业红队测试中，采用Nginx反代+域名缩短成功获取大量账户密码，进一步可利用的获取的账户密码二次钓。

配置好Nginx之后，直接访问http://vps:80便可跳转到目标后台系统，但是这样发链接还是有点小风险，对URL采用域名缩短，增加迷惑性，发邮件的时候放入到超链接里面去，基本可以达到以假乱真的效果

受害者点击链接之后输入账户密码会提示错误，实际上该账户密码已被获取到log日志中。

实际上在实战中采用🎣也经常遇到各种无奈的情况，如微信社工发木马压缩包和链接被封（微信小号），木马不免杀遭到对方回复说有病毒，也是醉了

以上仅为个人理解和学习，如有错误，多多包涵

未经作者同意，禁止转载和复制 ！！！

原文始发于微信公众号（弱口令验证机器人）：记一次对抗中的钓鱼