前提:运用到前几篇所学,克隆网站,office宏的应用
当我们搜集到内网的一些邮箱时,可以使用批量发送钓鱼邮件来进行攻击获得shell
首先监听端口,制作克隆站点,这里依然以https://www.baidu.com为例
然后制作office宏病毒,我们将其压缩成一个包office,zip密码123456,是为了绕过对其的一些检测
接着我们选择Attacks->spear Phish构造钓鱼

Targets中是要发送的邮件,这里因为我邮件有限,以自己的小号为例
Template是发送内容的模板
Attachment是要发送所带的附件
Embed URL是钓鱼链接,我们在克隆网站那步生成的网址,这里我没有填是因为我在发送的邮件内容中包含了钓鱼链接
Mail Server如图填写,账号:授权码@smtp.qq.com
Bounce To:与上一栏邮箱对应即可
发送内容模板获取:
首先将钓鱼的内容写好给自己的小号发一份,然后再已发送中找到刚刚的邮件,如图点击,显示邮件原文,然后将其内容导出到一个txt文本中,我这里命名content.txt


这里将红色区域删掉,这样就不知道是谁发送的
这样模板就这做好了
还有一个问题是获取QQ的授权码


然后发送个短信验证一下就获得授权码了

然后再刚刚的 Mail Server 右边点击填写,Username处就是要发送钓鱼链接的邮箱,Password是刚刚获取的授权码
之后我们发送邮件即可


然后那边收到邮箱,将下载的附件打开,获得shell

实际渗透过程中,首先再次注意克隆的网站要选好,有的情况需要自己去写,因为克隆的效果可能不是很好,邮件的内容也要因地制宜,注意实际情况