chrismaddalena/goreportEin Python-Skript zum Sammeln von Kampagnendaten aus Gophish und zum Erstellen eines Berichts
Dieses Skript akzeptiert Ihre Gophish-Kampagnen-ID(s) als Parameter und sammelt dann die Kampagnenergebnisse, um die Statistiken darzustellen sowie User-Agent-Parsing und Geolokalisierungssuchen für IP-Adressen durchzuführen. Goreport generiert Listen von IP-Adressen, Betriebssystemen, Browsertypen und -versionen sowie Standorten mit Zählungen, wie oft jeder Eintrag während der Kampagne gesehen wurde.
Ein Hinweis zu den Statistiken: Goreport meldet die Gesamtzahl der Ereignisse und die Anzahl der E-Mail-Empfänger, die an jedem Ereignis teilgenommen haben. Mit anderen Worten, Goreport zeigt an, wie oft Gophish ein "Clicked Link"-Ereignis aufgezeichnet hat und wie viele Empfänger einen Link angeklickt haben. Das sind sehr unterschiedliche Zahlen. Eine Kampagne, die an 10 Personen gesendet wurde, könnte 9 Geklickter-Link-Ereignisse haben, obwohl nur 3 Empfänger einen Link angeklickt haben. Zu wissen, dass Empfänger einen Link mehrfach angeklickt oder Daten mehr als einmal übermittelt haben, ist wertvolle Information, aber stellen Sie sicher, dass Sie die Zahlen nicht durcheinanderbringen.
Dieses Skript erfordert einen Gophish-Server, eine aktive oder abgeschlossene Kampagne und den API-Schlüssel für Ihre Gophish-Anwendung. Erhalten Sie diesen Schlüssel, indem Sie auf den Reiter Einstellungen klicken. Der API-Schlüssel befindet sich auf der ersten Seite. Jedes Gophish-Benutzerkonto hat seinen eigenen API-Schlüssel, der als Authentifizierungsmethode für diesen Benutzer gegenüber der Gophish-API fungiert. Wenn Sie mehrere Konten mit Gophish verwenden, stellen Sie sicher, dass Sie den richtigen API-Schlüssel des Benutzers verwenden.
Diese Python-Bibliotheken werden ebenfalls benötigt:
Sie müssen einige Dinge tun, um loszulegen:
pip install -r requirements.txt aus.Dieses Beispiel geht davon aus, dass Gophish auf einem anderen Server läuft und HTTPS verwendet wird. Um den API-Endpunkt zu erreichen, müssen Sie SSH-Portweiterleitung mit Port 3333 (oder einem anderen lokalen Port Ihrer Wahl) verwenden:
[Gophish]
gp_host: https://127.0.0.1:3333
api_key: <YOUR_API_KEY>
[ipinfo.io]
ipinfo_token: <IPINFO_API_KEY>
[Google]
geolocate_key: <GEOLOCATE_API_KEY>
python3 Goreport.py --id 26 --format excel
Das würde die Ergebnisse der Kampagne 26 von https://localhost:3333/api/campaigns/26/?api_key=<Your_API_Key> abrufen und die Ergebnisse in eine xlsx-Datei ausgeben.
Mehrere IDs können gleichzeitig für mehrere Berichte angegeben werden. Die IDs können als kommagetrennte Liste, als Bereich oder beides angegeben werden.
Beispiel: python3 Goreport.py --id 26,29-33,54 --format csv
Wenn Sie mehrere Gophish-Benutzerkonten oder -Server verwenden, haben Sie mehrere API-Schlüssel. Um das Wechseln zwischen Schlüsseln zu erleichtern, ermöglicht Ihnen die --config-Option von Goreport, die Standardkonfigurationsdatei gophish.config durch eine von Ihnen benannte Konfigurationsdatei zu überschreiben. Wenn dieses Argument mit einer gültigen, lesbaren Konfigurationsdatei angegeben wird, verwendet Goreport diese anstelle von gophish.config, um die API-Verbindungen einzurichten.
Sie könnten diese Option verwenden, wenn Sie beispielsweise drei Phishing-Server mit Gophish betreiben. Sie könnten drei Konfigurationsdateien einrichten, jede mit einem anderen Gophish-API-Schlüssel, und diese dann nach Bedarf verwenden.
Beispiel: python3 Goreport.py --id 26,29-33,54 --format csv --config phish_server_2.config
Wenn Sie mehrere Kampagnen mit denselben Einstellungen für verschiedene Zielgruppen durchgeführt haben, möchten Sie möglicherweise Goreport für all diese Kampagnen auf einmal ausführen und die Ergebnisse dann zu einem Bericht zusammenfassen. Dies kann durch Hinzufügen des --combine-Flags von Goreport erreicht werden.
Beispiel: python3 Goreport.py --id 26,29-33,54 --format excel --combine
Dieser Befehl würde die Ergebnisse für die Kampagnen 26, 29, 30, 31, 32, 33 und 54 sammeln. Normalerweise würde Goreport sieben xlsx-Dateien ausgeben, aber durch Hinzufügen von --combine wird Goreport angewiesen, die Ergebnisse zu kombinieren und nur einen Bericht auszugeben, als ob es sich um eine einzige große Kampagne handeln würde.
Goreport kann entweder eine Excel-Tabelle (xlsx) oder ein Word-Dokument (docx) ausgeben. Es gibt auch eine "Quick"-Berichtsoption. Wählen Sie einfach Ihr bevorzugtes Format mit dem Befehlszeilenargument --format, wie oben im Abschnitt Beispielverwendung gezeigt. Über das csv-Format gibt es nicht viel zu sagen.
Das Word-Dokument wird aus einer Vorlage, template.docx, erstellt. Legen Sie Ihre Vorlagendatei mit dem Namen template.docx in das Goreport-Verzeichnis zusammen mit dem Hauptskript. Ihre Vorlage sollte einen gewünschten Tabellenstil und Überschriftenstile für Überschrift 1 und Überschrift 1 enthalten. Benennen Sie Ihren bevorzugten Tabellenstil "Goreport" und richten Sie Ihre Überschrift-1- und -2-Stile ein.
Sie können gerne einen benutzerdefinierten Stil erstellen oder einen vorhandenen Stil verwenden. Das Einzige, worauf es ankommt, ist, dass eine template.docx-Datei existiert und sie einen "Goreport"-Tabellenstil enthält.
Um einen Stil umzubenennen, klicken Sie mit der rechten Maustaste auf den Stil, wählen Sie Tabellenstil ändern und legen Sie einen neuen Namen fest.
Die Excel-Option gibt eine schön formatierte Excel-Arbeitsmappe mit mehreren Arbeitsblättern für die verschiedenen Sammlungen von Ergebnissen und Statistiken aus. Dies ist eine gute Option, wenn Sie Ergebnistabellen einfach sortieren oder filtern möchten.
Schließlich gibt es eine "Quick"-Option. Diese erzeugt keinen Bericht. Statt eines Berichts gibt sie grundlegende Informationen über die Kampagne auf Ihrem Terminal aus. Dies ist praktisch, um schnell den Kampagnenfortschritt zu überprüfen oder nach Abschluss der Kampagne auf Ergebnisse zu verweisen.
Wenn Sie den Status einer Kampagne bei der Berichtserstellung auf "Complete" setzen möchten, kann Goreport Ihnen dies automatisch mit dem --complete-Flag ermöglichen. Wenn Sie dieses Flag angeben, verwendet Goreport die API, um jede Kampagnen-ID als "Complete" zu markieren, um die Kampagne zu beenden und den Status in Gophish zu aktualisieren.
Gophish führt eigene Geolokalisierungssuchen mit IP-Adressen durch und gibt Breiten- und Längengrade zurück. Dies funktioniert einigermaßen, kann aber fehlschlagen und Koordinaten von 0,0 zurückgeben oder veraltete Informationen liefern.
Goreport hat zwei Optionen, die verwendet werden können, um die Standortergebnisse zu verbessern. Die erste und empfohlene Option ist die ipinfo.io API. Der API-Zugang ist kostenlos, solange Sie weniger als 1.000 Abfragen pro 24-Stunden-Zeitraum durchführen. Das sollte für eine Phishing-Kampagne nicht allzu schwierig sein.