Instalar Gophish (compilación de GottaPhish)

Gophish es un marco de phishing de código abierto para ejecutar simulaciones autorizadas de concienciación sobre seguridad. Esta guía instala la compilación de Gophish de GottaPhish, que se mantiene actualizada en GitHub.

Una imagen de Docker, construida en GitHub

La compilación de GottaPhish se encuentra en github.com/GottaPhish/gophish-ByGottaPhish. Se publica una imagen de Docker precompilada en el GitHub Container Registry para que pueda descargarla y ejecutarla sin necesidad de una cadena de herramientas de Go en el host.

docker pull ghcr.io/gottaphish/gophish-bygottaphish:latest
docker run -d --name gophish -p 3333:3333 -p 80:80 ghcr.io/gottaphish/gophish-bygottaphish:latest

La imagen precompilada está disponible en GitHub (GitHub Container Registry): consulta la página Packages del repositorio para ver las etiquetas disponibles. ¿Prefieres compilarla tú mismo? También puedes construirla directamente desde el código fuente de GitHub más abajo.

Como el repositorio incluye un Dockerfile, también puede construir la imagen directamente desde el código fuente de GitHub:

git clone https://github.com/GottaPhish/gophish-ByGottaPhish
cd gophish-ByGottaPhish
docker build -t gophish-bygottaphish .
docker run -d --name gophish -p 3333:3333 -p 80:80 gophish-bygottaphish

Primer inicio de sesión

En el primer arranque, Gophish genera una contraseña de administrador aleatoria y la imprime en los registros del contenedor. Léala, abra la interfaz de administración en https://localhost:3333, inicie sesión como admin y cambie la contraseña de inmediato.

docker logs gophish 2>&1 | grep -i "please login with the username admin"

Interfaz de administración frente al servidor de phishing

Gophish ejecuta dos escuchadores: la interfaz de administración en el puerto 3333, donde crea y lanza campañas, y el servidor de phishing en el puerto 80, que aloja sus páginas de aterrizaje y registra los clics. Mantenga privada la interfaz de administración; solo el servidor de phishing debe ser accesible para sus objetivos.

Ejecute simulaciones de phishing únicamente contra sistemas y personas que tenga autorización explícita para evaluar.