phishingclub/phishingclub

# Phishing Club [](https://github.com/phishingclub/phishingclub/releases/latest) [](https://discord.gg/Zssps7U8gX) [](https://www.gnu.org/licenses/agpl-3.0) **Phishing Club** 是一个钓鱼模拟和红队钓鱼框架。  ## 快速开始 ⚡ 对于启用了 systemd 的发行版，安装过程快速且简单 在服务器上运行以下命令 ``` curl -fsSL https://raw.githubusercontent.com/phishingclub/phishingclub/main/install.sh | bash ``` 请记住复制管理员 URL 和密码 [手动安装](https://phishing.club/guide/management/#install) [GHCR 镜像](https://github.com/phishingclub/phishingclub/pkgs/container/phishingclub) [生产环境 docker compose 示例](https://github.com/phishingclub/phishingclub/blob/develop/docker-compose.production.yml) ## 功能特性 Phishing Club 为模拟和红队测试提供了许多功能，以下是一些亮点。 - **多阶段钓鱼流程** - 将多个钓鱼页面组合在一起 - **域名代理** - 配置域名以代理并镜像目标站点的内容 - **灵活的调度** - 时间窗口、工作时间或手动投递 - **多域名支持** - 自动 TLS、自定义站点和资产管理 - **高级投递** - SMTP 配置或支持 OAuth 的自定义 API Sender - **收件人追踪** - 分组、CSV 导入、重复违规指标 - **分析** - 时间轴、仪表盘、按用户划分的事件历史 - **自动化** - HMAC 签名的 webhook、REST API、导入/导出 - **多租户** - 针对服务提供商的隔离客户端处理和统计 - **安全功能** - MFA、SSO、会话管理、IP 过滤 - **运维工具** - 应用内更新、CLI 安装程序、配置管理 ## AiTM 和红队功能 - **反向代理钓鱼** - 捕获会话以绕过弱 MFA - **完全控制** - 独立修改和捕获请求及响应 - **DOM 重写** - 使用 CSS/jQuery 风格的选择器或正则表达式修改内容 - **路径和参数重写** - 动态重写 URL 路径和查询参数 - **动态混淆** - 通过动态混淆的落地页规避静态检测 - **规避页面** - 自定义诱饵前规避页面 - **自定义拒绝页面** - 决定机器人或被规避的访问者看到的内容 - **访问控制** - 在访问钓鱼诱饵 URL 前维持默认拒绝列表 - **高级过滤** - 使用 JA4、CIDR 和 geo-IP 控制诱饵 URL 的访问 - **浏览器伪装** - 在代理请求中伪装 JA4 指纹 - **响应覆盖** - 使用自定义响应快捷代理 - **正向代理** - 使用 HTTP 和 SOCKS5 代理确保请求从正确的位置发起 - **可视化编辑器** - 使用可视化编辑器轻松设置代理 - **导入受损的 oauth token** - 使用受损的 token 通过启用 oauth 的端点发送更多钓鱼信息 - **设备代码钓鱼** - 设备代码钓鱼只需在电子邮件或落地页中添加一行代码即可实现 ### 博客与资源 - [Phishing Club 用户指南](https://phishing.club/guide/) - [使用 Phishing Club 进行隐蔽的红队钓鱼](http://phishing.club/blog/covert-red-team-phishing-with-phishing-club/) - [钓鱼模拟与红队钓鱼：理解不同的方法](https://phishing.club/blog/phishing-simulation-vs-red-team-phishing/) 写过关于 Phishing Club 的博客文章或撰写过相关文章？告诉我们，我们可能会把它添加到这里。通过 GitHub issue、Discord 联系我们，或者找到我们的电子邮件 :) ### 学生与学习 Phishing Club 可供网络安全学生或其他想要亲自动手尝试钓鱼的人使用。开发环境是一个理想的起点。启动活动、测试模板，并在安全、受控的环境中了解钓鱼攻击的工作原理。该环境附带本地 SMTP/邮箱容器以及您需要的一切。 为了辅助开发 MITM 代理配置，还提供了一个 `MITMProxy` 容器，您可以在其中查看流向代理站点的流量。 要开始使用，请克隆代码库，确保已安装 make 和 docker，然后运行 `make up` 并等待后端启动并运行。复制凭据，您就可以开始了。 需要帮助？加入 Discord 频道。 ## 模板开发 ### 钓鱼模板工作台 使用我们的模板工作台工具加速您的模板开发： **[钓鱼模板工作台](https://github.com/phishingclub/templates)** - 一个专为开发者设计的用于创建和测试钓鱼模拟模板的环境。 - **预览** - 预览模板 - **变量支持** - 查看使用逼真样本数据替换的 `{{.FirstName}}`、`{{.Email}}` - **初级响应式测试** - 跨移动端、平板和桌面预览模板 - **导出就绪** - 与 Phishing Club 格式兼容 - **内置模板** - 附带涵盖常见钓鱼场景的示例模板，您可以直接导入并自定义 ## 开发环境设置 ### 前置条件 - Docker 和 Docker Compose - Git - Make（可选，用于便捷命令） ### 快速开始 1. **克隆代码库：** ``` git clone https://github.com/phishingclub/phishingclub.git cd phishingclub ``` 2. **启动服务：** ``` make up # 或手动： docker compose up -d ``` 3. **访问平台：** - 管理界面：`http://localhost:8003` - HTTP 钓鱼服务器：`http://localhost:80` - HTTPS 钓鱼服务器：`https://localhost:443` 4. **获取管理员凭据：** 启动服务时，**用户名**和**密码**会输出在终端中。如果您在通过登录完成设置之前重启了后端服务，用户名和密码将会更改。 ``` make backend-password ``` 5. **设置并开始钓鱼：** 打开 `https://localhost:8003` 并使用第 4 步中的凭据设置管理员帐户。 访问 [Phishing Club 指南](https://phishing.club/guide/introduction/) 了解更多信息。 ## 服务和端口 | 端口 | 服务 | 描述 | |------|---------|-------------| | 80 | HTTP Phishing Server | 用于活动的 HTTP 钓鱼服务器 | | 443 | HTTPS Phishing Server | 带 SSL 的 HTTPS 钓鱼服务器 | | 8002 | Backend API | 后端 API 服务器 | | 8003 | Frontend | 使用 Vite 的开发前端 | | 8101 | Database Viewer | DBGate 数据库管理 | | 8102 | Mail Server | 集成 SpamAssassin 的 Mailpit SMTP 服务器 | | 8103 | Container Logs | Dozzle 日志查看器 | | 8104 | Container Stats | Docker 容器统计信息 | | 8105 | MITMProxy| MITMProxy Web 界面 | | 8106 | MITMProxy | MITMProxy 外部访问 | | 8201 | ACME Server | 用于证书的 Pebble ACME 服务器 | | 8202 | ACME Management | Pebble 管理界面 | ## 开发命令 `makefile` 包含许多用于开发的便捷命令。 ``` # 启动所有服务 make up # 停止所有服务 make down # 查看日志 make logs # 重启特定服务 make backend-restart make frontend-restart # 访问服务容器 make backend-attach make frontend-attach # 重置后端数据库 make backend-db-reset # 获取后端管理员密码 make backend-password ``` ## 开发域名 在开发中，我们为所有域名使用 `.test`。但这同样需要在宿主机的层级进行处理。您必须修改 hosts 文件并添加您使用的域名，或者运行本地 DNS 服务器并确保所有 *.test 域名解析到 127.0.0.1。 ### 选项 1：DNSMasq（推荐） ``` # 添加到您的 DNSMasq 配置 address=/.test/127.0.0.1 ``` ### 选项 2：Hosts 文件 添加到 `/etc/hosts`： ``` 127.0.0.1 microsoft.test 127.0.0.1 google.test ... add your development domains here ``` ## 开发 SSL 证书 开发环境使用 Pebble ACME 服务器自动生成 SSL 证书。在生产环境中，请配置您首选的 ACME 提供商或上传自定义证书。 如果您在生成证书时遇到任何问题，请关闭后端， 清除本地证书，然后再次启动后端： - `make backend-down` - `make backend-clear-certs` - `make backend-up` ## 证书警告 在开发时，忽略证书警告可能会很方便，尤其是在处理复杂的代理设置时。请使用 专用浏览器并跳过证书警告。 在 Ubuntu 上，您可以添加一个自定义的 chromium 快捷方式来忽略证书警告。 `~/.local/share/applications/chromium-dev.desktop` ``` [Desktop Entry] Version=1.0 Type=Application Name=Chromium Phishing Dev Comment=Chromium for development with SSL certificate errors ignored Exec=chromium-browser --ignore-certificate-errors --incognito Icon=chromium-browser Terminal=false ``` ## 许可证 Phishing Club 采用双重许可模式： ### 开源许可证 (AGPL-3.0) 本项目基于 GNU Affero General Public License v3.0 (AGPL-3.0) 授权。这意味着： - ✅ 您可以自由使用、修改和分发该软件 - ✅ 非常适合教育、研究和商业用途 - ✅ 您可以运行自己的实例进行安全测试或提供专业服务 - ⚠️ **重要提示**：如果您将修改后的软件作为网络服务提供，则必须根据 AGPL-3.0 公开您的源代码 ### 商业许可证 适用于希望以下列方式使用的组织： - 在商业产品中使用 Phishing Club 而不受 AGPL 限制 - 将 Phishing Club 作为服务提供而无需公开源代码 - 修改或更改代码库而无需公开源代码 **联系商业许可**：[license@phishing.club](mailto:license@phishing.club) ## 路线图 没有官方路线图。 但是您可以在 [Github](https://github.com/phishingclub/phishingclub) 上用表情符号为 `[feature]` 请求投票，或者添加您自己的功能请求。 具有高票数的功能请求将被优先考虑，但不保证它们会被实现。最终，实现什么功能、如何实现以及何时实现在很大程度上取决于[我](https://github.com/ronniskansing)以及我认为对项目合适的内容。 ## 支持 需要帮助？加入 [Phishing Club Discord](https://discord.gg/Zssps7U8gX) 社区支持基于尽力而为的志愿原则提供。如需专属协助，可提供付费支持。 - **一般支持**：加入我们的 Discord 社区或提交 GitHub issue - **安全问题**：请参阅我们的[安全政策](SECURITY.md) ## 安全与道德使用 本平台专为**授权安全测试**而设计。 有关以下方面的重要信息： - 报告安全漏洞 - 道德使用要求 - 法律责任 - 安全最佳实践 请阅读我们的[安全政策](SECURITY.md)。 **重要提示**：用户需自行确保其使用符合所有适用的法律法规。

标签：AGPL, Awesome, Docker, ESC8, EVTX分析, IP过滤, MFA, OAuth, REST API, SMTP, SSO, Webhook, 力导向图, 域代理, 多阶段钓鱼, 安全测试, 安全防御评估, 开源, 攻击性安全, 数据展示, 渗透测试框架, 版权保护, 社会工程学, 系统管理, 红队, 结构化查询, 网络安全, 网络钓鱼模拟, 网络防御评估, 自动化安全, 请求拦截, 防御, 隐私保护