拓冰网站定制 
简介一份面向网络空间安全、信息管理及Python课程设计方向的综合实践资源包聚焦社会工程学攻击的原理与实现帮助学习者理解信息收集、心理操纵、信任建立等非技术性攻击手段进而强化安全防御意识也可作为高校课程设计或安全通识教育的参考资料。资源包共含2个文件Python源码与配套实验报告docx压缩包约1.09MB源码覆盖自动化信息收集、Scapy网络嗅探、SMTP邮件伪造、语音交互模拟及简易恶意程序等脚本实验报告则按步骤记录操作过程、结果与风险分析便于复盘和答辩准备。已有431人学习下载。初学者可逐段拆解代码掌握攻击链路的Python实现进阶者可将源码改造用于安全演练或攻防演示内容同时强调道德法律边界引导将技术用于防护而非滥用。1. 这个zip里装的不只是脚本社会工程学攻击为什么值得你拆开看如果你拿到一个《基于python的社会工程学攻击内含源码和实验报告.zip》建议先不要急着解压运行。这个包的价值不在那几行Python脚本而在于它从信息收集到凭据落地串出了一条完整演示链。真正做过钓鱼演练的人会有同感攻击效果好坏九成取决于脚本之外的细节——页面长得像不像、链接上下文是否可信、报告里有没有留下审计痕迹。这篇实战笔记围绕python源码复现这个方向按我自己的环境把最小实现、参数调整和踩坑过程展开适合安全测试人员、蓝队运维和负责员工安全意识培训的同事。你不需要有红队背景但至少要能在自己的授权环境中运行Python脚本并且知道哪些操作在合法边界内。2. 社会工程学攻击的四个阶段从情报收集到拿到权限Python在其中扮演什么角色2.1 攻击链拆解社工攻击不只是钓鱼这么简单社会工程学攻击与常规漏洞利用的最大区别在于攻击面是人而不是软件漏洞。一条典型的攻击链可以拆成四个阶段侦察、诱饵构造、交互触发、凭据收集。侦察阶段决定后续所有动作的可用资源比如目标部门邮箱、常用系统名称、内部系统的登录页风格。诱饵构造的核心是让被攻击者认为消息来源可信这一步直接决定打开率。交互触发指用户点击链接、打开附件或输入账号密码的瞬间。凭据收集则是在后端记录数据并把用户引回合法页面避免当场露馅。Python在这四步里都能参与侦察阶段用脚本批量整理目标公开页面里的联系方式诱饵阶段用Flask快速生成与内网系统同风格的页面交互阶段用前端校验和后端日志记录事件凭据收集阶段把表单数据落库。相比现成社工工具一键生成的页面Python方案的好处是每个环节都留得下可观测日志方便结束后复现和分析。一个实际案例是去年我做的一次内部钓鱼演练目标系统页面使用了很老的单点登录框架现成工具模板完全对不上最后就是用Flask手工仿了一个同风格页面才让提交率达到预期。这也说明工具只是起点理解流程和编写代码的能力才是关键。2.2 为什么用Python而不是现成工具可控性和可塑性的取舍很多现成工具能在一分钟内生成一个钓鱼页面比如常用的社工工具包或钓鱼模板平台。但它们的模板相对固定如果目标环境有统一认证系统模板很容易被识破。另一个问题是工具生成的脚本往往把请求处理、日志存储、页面克隆封装成黑匣子测试结束后你无法从日志中还原用户行为。我一般倾向于用Python的Flask框架做最小复现原因不是它比现成工具强而是每一步都能通过代码控制。下面的Python示例用来在授权范围内整理目标公开页面的联系方式演示侦察阶段最常见的文本处理import re import requests # 仅用于获取目标自己公开的招聘邮箱测试前需要获得书面授权 resp requests.get(https://example.com/about, timeout10) emails re.findall(r[a-zA-Z0-9._%-][a-zA-Z0-9.-]\.[a-zA-Z]{2,}, resp.text) unique_emails sorted(set(emails)) for mail in unique_emails: print(mail)这段代码使用requests请求目标公开页面用正则表达式匹配常见邮箱格式最后对结果去重。实际使用时需要注意两点第一尽管网站管理员可以通过robots.txt声明禁止抓取但授权测试需要以书面批准为准第二不要对非授权目标运行这段代码。它只是演示Python在信息整理上的优势距离完整攻击链还很远。这里还能看出Python方案的可塑性和易错性。容易错的地方是正则会对JS变量里的“字符串字符串”也做匹配导致结果里混进大量无效地址所以下一步一般会过滤掉前后带引号或属于图片链接的邮箱。这种细节在图形化工具里很难改在Python里只要多写两行过滤逻辑就行。另一个好处是可以方便地做并发采集几十个目标页面用httpx的异步请求在数秒内完成这对现成工具来说是很难扩展的。2.3 授权边界与最小权限测试脚本必须保留的四个字段在讨论技术实现前有必要把授权边界先讲清楚。社会工程学攻击一旦失控就会变成真实攻击所以跑测试脚本前至少要确认四点测试时间窗口、涉及的系统清单、通知范围、应急联系人。这四个字段应该直接写在实验报告的第一屏并同步给值班团队。很多翻车事件并不是脚本写得不好而是没在正确的边界里运行。Python脚本里通常要保留四个信息字段便于后续审计。我会在日志文件里固定写入timestamp、source_ip、user_agent、test_token。source_ip用于区分测试流量和真实异常流量user_agent用于判断是不是同一批测试终端test_token是当次演练的随机编号可以把邮件、页面和收集记录串成一条链路。这样即使出了问题也能在几分钟内定位是哪一条测试路径触发了告警而不是翻遍所有服务器日志。下一章就从环境准备开始把最小社工复现环境搭起来。3. 复现一个最小社工测试环境用Python搭建钓鱼页面与凭据收集3.1 环境准备与目录结构复现这个方案不需要太多依赖建议使用Python 3.8以上环境可以避免一些字符串编码兼容问题。首先确认Python安装正确然后安装Flask。在我自己电脑上安装命令是python --version pip install flask如果网络环境受限可以使用国内镜像例如pip install flask -i https://pypi.tuna.tsinghua.edu.cn/simple。安装完成后检查Flask版本python -c import flask; print(flask.__version__)测试工程建议按下面的目录结构组织phishing-lab/ ├── app.py # Flask主程序处理GET/POST请求 ├── templates/ │ └── login.html # 登录页面模板 ├── collected_creds.csv # 凭据记录文件运行后自动生成 └── README.md # 记录授权范围和测试时间把目录结构固定下来好处是实验报告可以按文件引用代码复盘时不会找不到对应版本。如果计划做多轮测试建议在目录名里加时间戳比如phishing-lab-20250421避免覆盖上一轮的日志。3.2 用Flask起一个本地钓鱼页最小代码与参数说明下面是这个最小演示的app.py代码。它只做三件事将GET请求渲染为登录页面接收POST请求中的用户名和密码并把数据写入CSV文件。from flask import Flask, request, redirect, render_template import csv import os # 记录文件保存路径 CRED_FILE collected_creds.csv def save_cred(username, password): file_exists os.path.isfile(CRED_FILE) with open(CRED_FILE, a, newline, encodingutf-8-sig) as f: writer csv.writer(f) if not file_exists: writer.writerow([username, password, user_agent, source_ip, test_token]) writer.writerow([ username, password, request.headers.get(User-Agent, ), request.remote_addr, TOKEN-20250421-001 ]) print(fcaptured: {username} / {password}) app Flask(__name__) app.route(/) def index(): return render_template(login.html) app.route(/login, methods[POST]) def login(): username request.form.get(username, ) password request.form.get(password, ) save_cred(username, password) # 无论输入什么都重定向到公司系统避免被察觉 return redirect(https://example.com/login) if __name__ __main__: app.run(host0.0.0.0, port5000, debugFalse)逻辑说明页面加载时index函数返回templates目录下的模拟登录页用户提交表单后数据从request.form中提取写入CSV时使用utf-8-sig编码以避免Excel打开中文乱码。最后重定向到真实系统地址让用户认为自己只是输错了密码或网络短暂跳转。save_cred里同时记录了User-Agent与源IP方便后续分析测试人群和真实受害者分布。参数说明host0.0.0.0表示监听所有网卡允许同网段的其他测试机访问port5000是Flask默认端口如果被占用可以换5001。debugFalse必须保持关闭否则启动时会多出一个调试进程且错误页会暴露源码路径。redirect后的地址要换成你自己公司可用的测试域名一定不要放一个真实可登录的外部系统避免制造混淆。代码里的test_token固定写在字段里如果要做多轮测试建议改成从环境变量读取。对应模板templates/login.html可以非常简单只需要一个form提交到/login。首屏页面还需要让用户看不出破绽一般模仿内部统一认证平台的标题和Logo但纯静态页面就够了。!DOCTYPE html html langzh head meta charsetUTF-8 meta nameviewport contentwidthdevice-width, initial-scale1.0 title统一身份认证/title /head body h2欢迎登录/h2 p为了保障账号安全请使用内部账号登录。/p form action/login methodpost input typetext nameusername placeholder工号 required input typepassword namepassword placeholder密码 required button typesubmit登 录/button /form /body /html代码没有复杂逻辑就是标准的HTML表单。表单action指向/loginname属性必须与后端request.form.get里的字符串一致否则会收集不到内容。样式上不要堆砌样式表尽量复用企业内部系统页面使用的字体和布局简洁干净更容易通过用户的警觉。如果想更逼真可以把页面标题改成目标系统的中文名称并在页脚加一句“如有异常请联系信息中心”。启动服务后在浏览器访问http://127.0.0.1:5000提交任意测试账号打开collected_creds.csv就能看到记录。这一步验证通过后再考虑带上外发邮件和落地页的完整链路。运行验证命令python app.py看到Flask打印的Running on http://0.0.0.0:5000说明服务正常。注意不要在有防火墙策略的生产网段直接跑这会触发大量扫描和告警。3.3 配合mitmproxy或自定义脚本做登录劫持上面这个方案依赖用户主动访问钓鱼页效果受限于诱导话术。若要观察更真实的数据流向可以在中间链路加一次流量转发比如使用mitmproxy作为代理脚本。mitmproxy本身是Python开发的可以写一段内联脚本来实时捕获POST请求而不需要修改目标应用。常见做法是在内网测试时给一个特定客户端配置代理再通过DNS或hosts文件把目标域名解析到测试机。内联脚本的核心逻辑如下from mitmproxy import http def request(flow: http.HTTPFlow) - None: if example.com/login in flow.request.pretty_url: if flow.request.method POST: with open(caught.txt, a) as f: f.write(f{flow.request.urlencoded_form} f{flow.request.headers.get(User-Agent, )}\n)这种脚本会记录所有对指定URL的POST参数不需要目标应用配合。注意urlencoded_form只对application/x-www-form-urlencoded类型生效如果目标系统用JSON传参就需要改成flow.request.get_text()。实际测试中HTTP明文流量很容易被HSTS拦截所以代理方式更适合在完全受控的离线环境复现。我自己的经验是优先用Flask本地页面完成最小验证确认日志无异常后再考虑代理方案否则排查问题时两个环节会互相干扰。3.4 实验报告里该记录什么字段与指标源码包里的实验报告通常不能只贴代码和页面截图否则领导只会看到“攻击成功”三个字。建议报告至少包含两类信息授权与范围、观测指标与复盘。前者包括测试时间、授权工单编号、允许访问的系统列表、联系人电话后者包括钓鱼链接打开率、表单提交率、提交账号是否命中真实账号、从登录页到收集成功的时间差。阶段观测指标记录字段侦察目标清单准确率URL、联系方式、邮件地址数量诱饵页面打开率邮件送达数、邮件打开数、链接点击数收集凭据提交率表单提交数、真实账号命中数、User-Agent复盘响应时间用户提交时间、告警触发时间、运维确认时间表格里的每一项都要有对应的日志来源。比如“页面打开率”可以来自邮件追踪服务“凭据提交率”必须来自CSV记录“告警触发时间”需要和SOC值班日志对照。没有日志来源的指标不要写进报告不然会造成虚假安全感。实验报告里还要留一页“防御建议”至少包括开启多因素认证、登录异常提醒、内部系统页面规范、员工安全意识培训计划。4. 避坑指南复现社工攻击时的5个常见问题与排查4.1 现象本地钓鱼页被浏览器拦成“危险网站”我用Python起的Flask页面在局域网测试时偶尔会被浏览器直接拦截显示“后续操作可能会泄露个人隐私”或者被SmartScreen标记。原因是页面没有配置HTTPS证书同时浏览器会基于站点信誉判断域名是否为危险站点。解决方式是明确这不是线上正式域名只用于本地授权测试。我会把访问地址固定为http://localhost:5000或内网IP并临时关闭第三方的站点安全检测插件。千万不要为了“提高打开率”而把未配置证书的钓鱼页外发到公网那会把测试演变成真实攻击事件。另外还需要确认访问者用的是不是公司管控浏览器。很多公司会下发放飞检测插件本地测试页面一样会被拦截。遇到这种情况提前在测试终端上做浏览器豁免或者直接把页面挂到已备案的测试域名下比在本地不断调环境更省时间。4.2 现象HTTPS证书报错导致目标拒绝访问如果你想让钓鱼页和公司系统一样使用https协议自签名证书一定会带来证书警告。这种警告会在用户还没输入账号前就打消信任感。解决方法是如果测试环境没有合法的通配符证书就不要强行上HTTPS直接用HTTP配合hosts绑定同时确保测试网段没有旁路嗅探。另一个常用做法是提前将自签名CA导入到测试客户端的信任区但注意这会让测试结果失真不能用来评估真实对抗场景。在实际操作中我会把这个坑写进实验报告的“环境限制”一节说明测试结果偏正面未必代表真实环境安全。这一点很重要因为很多用户看到“90%的人提交了账号”会觉得系统没问题实际却忽略了HTTPS警告已经替用户挡下一部分风险。4.3 现象收集到的密码中文全部乱码CSV文件在Excel打开时中文乱码通常是编码问题。encodingutf-8-sig可以解决一部分但老版本Office对UTF-8的支持仍然不稳定。更可靠的做法是写入时使用utf-8读取时按实际环境转换或在报告阶段用Python重新读取并输出编码为gbk的xlsx。这里的关键是先确认实验环境用的Python 3.8默认编码是UTF-8然后统一所有读写代码里的编码参数。还有一个经验单独在CSV里存密码本身会触发杀软扫描很多测试方案会改为只记录用户名和密码长度密码内容不落盘。这样既能完成统计学分析也减少敏感数据泄露范围。如果确需记录密码样本用于培训演示建议限制采集数量并立刻加密压缩密码文件不要和源码放在同一目录下。4.4 现象授权测试的邮件触发网关告警即使有领导签字钓鱼演练邮件一旦绕过公司邮件网关就会引发真实告警SOC会把源IP加入黑名单。解决方法是测试前邮件通知SOC值班组和网络运维组并在邮件主题中加上固定前缀如[PENTEST-2025-0421]方便网关规则识别。Python脚本里发送邮件时要确保SMTP账号和收件人范围都在白名单内否则演完一场戏自己的IP先被封了。这件事看起来简单但在重保期间很容易翻车至少提前两个工作日发变更通知。如果公司有邮件DLP系统还需要把测试邮件地址加入白名单不然正文里出现“密码过期”这类关键词会直接被拦截。我见过一个项目邮件网关自动把测试邮件隔离了大半天最后打开率从预期的70%直接掉到个位数整个演练节奏全乱。所以准备好测试前检查清单比写代码更重要。4.5 现象实验报告写成“犯罪记录”如果你在报告中直接描述“我使用Python脚本抓取员工密码并破解成功”那这份报告在法务眼里就是一份攻击自白而不是技术复盘。正确的做法是在报告第一页附上授权测试文件编号写明测试范围是模拟攻击不包含真实业务数据。对采集到的测试账号进行脱敏处理比如把真实密码替换成***只保留账号长度和复杂度统计。报告结论部分必须落到防御建议上例如开启多因素认证、对临时开放端口做收敛、加强离职账号清理。这样这份实验报告才能成为培训材料而不是风险。我习惯在报告末尾加一个“不当使用声明”说明文中所有代码和方案仅限授权环境使用并要求阅读者签名确认日期。听起来有点形式主义但真出问题时这页纸能保护你自己和团队也劝退一部分想拿源码乱用的人。5. 用检测者的眼光收尾社工攻击模拟做完后这三件事比脚本本身更重要模拟一次社会工程学攻击并不代表你理解了防护。只有把攻击结果转换成检测规则和修复建议测试才有价值。我这里通常是三个动作。第一给采集到的记录打上可追溯标记。比如在CSV里增加一列test_token每次测试使用同一个随机数方便把邮件、登录页、账号密码和处置工单串联起来。代码里只要在保存记录时加一行writer.writerow([...] [test_token])就能让后续排查少走很多弯路。第二验证检测链路。测试结束后立刻到SOC平台查询邮件网关有没有产生[PENTEST]日志EDR有没有对诱饵文件告警用户有没有手动上报。如果没有任何告警说明检测规则存在盲区这比攻击本身更有价值。要把告警缺失记录为一项待修复问题。第三给业务系统做一次及时修复。钓鱼演练中最容易暴露的是账号没有启用多因素认证、登录没有异常地提醒、管理员账号没有限制来源IP。把这些问题按严重程度排期比再写一个钓鱼模板更值得投入。以上这些步骤都做完了那份zip里的代码对你来说就从一个攻击demo变成了一个可复用的安全测试基线。我吃过亏早期只顾着把页面做得像、把脚本跑通最后忘记留授权痕迹结果被合规追着补材料。希望你拿到的每一份源码都能在自己的授权环境里快速变成一份能说服老板的防御报告——希望帮到你。本文还有配套的精品资源点击获取 Python社会工程学攻击复现：从钓鱼页面到安全防御
简介一份面向网络空间安全、信息管理及Python课程设计方向的综合实践资源包聚焦社会工程学攻击的原理与实现帮助学习者理解信息收集、心理操纵、信任建立等非技术性攻击手段进而强化安全防御意识也可作为高校课程设计或安全通识教育的参考资料。资源包共含2个文件Python源码与配套实验报告docx压缩包约1.09MB源码覆盖自动化信息收集、Scapy网络嗅探、SMTP邮件伪造、语音交互模拟及简易恶意程序等脚本实验报告则按步骤记录操作过程、结果与风险分析便于复盘和答辩准备。已有431人学习下载。初学者可逐段拆解代码掌握攻击链路的Python实现进阶者可将源码改造用于安全演练或攻防演示内容同时强调道德法律边界引导将技术用于防护而非滥用。1. 这个zip里装的不只是脚本社会工程学攻击为什么值得你拆开看如果你拿到一个《基于python的社会工程学攻击内含源码和实验报告.zip》建议先不要急着解压运行。这个包的价值不在那几行Python脚本而在于它从信息收集到凭据落地串出了一条完整演示链。真正做过钓鱼演练的人会有同感攻击效果好坏九成取决于脚本之外的细节——页面长得像不像、链接上下文是否可信、报告里有没有留下审计痕迹。这篇实战笔记围绕python源码复现这个方向按我自己的环境把最小实现、参数调整和踩坑过程展开适合安全测试人员、蓝队运维和负责员工安全意识培训的同事。你不需要有红队背景但至少要能在自己的授权环境中运行Python脚本并且知道哪些操作在合法边界内。2. 社会工程学攻击的四个阶段从情报收集到拿到权限Python在其中扮演什么角色2.1 攻击链拆解社工攻击不只是钓鱼这么简单社会工程学攻击与常规漏洞利用的最大区别在于攻击面是人而不是软件漏洞。一条典型的攻击链可以拆成四个阶段侦察、诱饵构造、交互触发、凭据收集。侦察阶段决定后续所有动作的可用资源比如目标部门邮箱、常用系统名称、内部系统的登录页风格。诱饵构造的核心是让被攻击者认为消息来源可信这一步直接决定打开率。交互触发指用户点击链接、打开附件或输入账号密码的瞬间。凭据收集则是在后端记录数据并把用户引回合法页面避免当场露馅。Python在这四步里都能参与侦察阶段用脚本批量整理目标公开页面里的联系方式诱饵阶段用Flask快速生成与内网系统同风格的页面交互阶段用前端校验和后端日志记录事件凭据收集阶段把表单数据落库。相比现成社工工具一键生成的页面Python方案的好处是每个环节都留得下可观测日志方便结束后复现和分析。一个实际案例是去年我做的一次内部钓鱼演练目标系统页面使用了很老的单点登录框架现成工具模板完全对不上最后就是用Flask手工仿了一个同风格页面才让提交率达到预期。这也说明工具只是起点理解流程和编写代码的能力才是关键。2.2 为什么用Python而不是现成工具可控性和可塑性的取舍很多现成工具能在一分钟内生成一个钓鱼页面比如常用的社工工具包或钓鱼模板平台。但它们的模板相对固定如果目标环境有统一认证系统模板很容易被识破。另一个问题是工具生成的脚本往往把请求处理、日志存储、页面克隆封装成黑匣子测试结束后你无法从日志中还原用户行为。我一般倾向于用Python的Flask框架做最小复现原因不是它比现成工具强而是每一步都能通过代码控制。下面的Python示例用来在授权范围内整理目标公开页面的联系方式演示侦察阶段最常见的文本处理import re import requests # 仅用于获取目标自己公开的招聘邮箱测试前需要获得书面授权 resp requests.get(https://example.com/about, timeout10) emails re.findall(r[a-zA-Z0-9._%-][a-zA-Z0-9.-]\.[a-zA-Z]{2,}, resp.text) unique_emails sorted(set(emails)) for mail in unique_emails: print(mail)这段代码使用requests请求目标公开页面用正则表达式匹配常见邮箱格式最后对结果去重。实际使用时需要注意两点第一尽管网站管理员可以通过robots.txt声明禁止抓取但授权测试需要以书面批准为准第二不要对非授权目标运行这段代码。它只是演示Python在信息整理上的优势距离完整攻击链还很远。这里还能看出Python方案的可塑性和易错性。容易错的地方是正则会对JS变量里的“字符串字符串”也做匹配导致结果里混进大量无效地址所以下一步一般会过滤掉前后带引号或属于图片链接的邮箱。这种细节在图形化工具里很难改在Python里只要多写两行过滤逻辑就行。另一个好处是可以方便地做并发采集几十个目标页面用httpx的异步请求在数秒内完成这对现成工具来说是很难扩展的。2.3 授权边界与最小权限测试脚本必须保留的四个字段在讨论技术实现前有必要把授权边界先讲清楚。社会工程学攻击一旦失控就会变成真实攻击所以跑测试脚本前至少要确认四点测试时间窗口、涉及的系统清单、通知范围、应急联系人。这四个字段应该直接写在实验报告的第一屏并同步给值班团队。很多翻车事件并不是脚本写得不好而是没在正确的边界里运行。Python脚本里通常要保留四个信息字段便于后续审计。我会在日志文件里固定写入timestamp、source_ip、user_agent、test_token。source_ip用于区分测试流量和真实异常流量user_agent用于判断是不是同一批测试终端test_token是当次演练的随机编号可以把邮件、页面和收集记录串成一条链路。这样即使出了问题也能在几分钟内定位是哪一条测试路径触发了告警而不是翻遍所有服务器日志。下一章就从环境准备开始把最小社工复现环境搭起来。3. 复现一个最小社工测试环境用Python搭建钓鱼页面与凭据收集3.1 环境准备与目录结构复现这个方案不需要太多依赖建议使用Python 3.8以上环境可以避免一些字符串编码兼容问题。首先确认Python安装正确然后安装Flask。在我自己电脑上安装命令是python --version pip install flask如果网络环境受限可以使用国内镜像例如pip install flask -i https://pypi.tuna.tsinghua.edu.cn/simple。安装完成后检查Flask版本python -c import flask; print(flask.__version__)测试工程建议按下面的目录结构组织phishing-lab/ ├── app.py # Flask主程序处理GET/POST请求 ├── templates/ │ └── login.html # 登录页面模板 ├── collected_creds.csv # 凭据记录文件运行后自动生成 └── README.md # 记录授权范围和测试时间把目录结构固定下来好处是实验报告可以按文件引用代码复盘时不会找不到对应版本。如果计划做多轮测试建议在目录名里加时间戳比如phishing-lab-20250421避免覆盖上一轮的日志。3.2 用Flask起一个本地钓鱼页最小代码与参数说明下面是这个最小演示的app.py代码。它只做三件事将GET请求渲染为登录页面接收POST请求中的用户名和密码并把数据写入CSV文件。from flask import Flask, request, redirect, render_template import csv import os # 记录文件保存路径 CRED_FILE collected_creds.csv def save_cred(username, password): file_exists os.path.isfile(CRED_FILE) with open(CRED_FILE, a, newline, encodingutf-8-sig) as f: writer csv.writer(f) if not file_exists: writer.writerow([username, password, user_agent, source_ip, test_token]) writer.writerow([ username, password, request.headers.get(User-Agent, ), request.remote_addr, TOKEN-20250421-001 ]) print(fcaptured: {username} / {password}) app Flask(__name__) app.route(/) def index(): return render_template(login.html) app.route(/login, methods[POST]) def login(): username request.form.get(username, ) password request.form.get(password, ) save_cred(username, password) # 无论输入什么都重定向到公司系统避免被察觉 return redirect(https://example.com/login) if __name__ __main__: app.run(host0.0.0.0, port5000, debugFalse)逻辑说明页面加载时index函数返回templates目录下的模拟登录页用户提交表单后数据从request.form中提取写入CSV时使用utf-8-sig编码以避免Excel打开中文乱码。最后重定向到真实系统地址让用户认为自己只是输错了密码或网络短暂跳转。save_cred里同时记录了User-Agent与源IP方便后续分析测试人群和真实受害者分布。参数说明host0.0.0.0表示监听所有网卡允许同网段的其他测试机访问port5000是Flask默认端口如果被占用可以换5001。debugFalse必须保持关闭否则启动时会多出一个调试进程且错误页会暴露源码路径。redirect后的地址要换成你自己公司可用的测试域名一定不要放一个真实可登录的外部系统避免制造混淆。代码里的test_token固定写在字段里如果要做多轮测试建议改成从环境变量读取。对应模板templates/login.html可以非常简单只需要一个form提交到/login。首屏页面还需要让用户看不出破绽一般模仿内部统一认证平台的标题和Logo但纯静态页面就够了。!DOCTYPE html html langzh head meta charsetUTF-8 meta nameviewport contentwidthdevice-width, initial-scale1.0 title统一身份认证/title /head body h2欢迎登录/h2 p为了保障账号安全请使用内部账号登录。/p form action/login methodpost input typetext nameusername placeholder工号 required input typepassword namepassword placeholder密码 required button typesubmit登 录/button /form /body /html代码没有复杂逻辑就是标准的HTML表单。表单action指向/loginname属性必须与后端request.form.get里的字符串一致否则会收集不到内容。样式上不要堆砌样式表尽量复用企业内部系统页面使用的字体和布局简洁干净更容易通过用户的警觉。如果想更逼真可以把页面标题改成目标系统的中文名称并在页脚加一句“如有异常请联系信息中心”。启动服务后在浏览器访问http://127.0.0.1:5000提交任意测试账号打开collected_creds.csv就能看到记录。这一步验证通过后再考虑带上外发邮件和落地页的完整链路。运行验证命令python app.py看到Flask打印的Running on http://0.0.0.0:5000说明服务正常。注意不要在有防火墙策略的生产网段直接跑这会触发大量扫描和告警。3.3 配合mitmproxy或自定义脚本做登录劫持上面这个方案依赖用户主动访问钓鱼页效果受限于诱导话术。若要观察更真实的数据流向可以在中间链路加一次流量转发比如使用mitmproxy作为代理脚本。mitmproxy本身是Python开发的可以写一段内联脚本来实时捕获POST请求而不需要修改目标应用。常见做法是在内网测试时给一个特定客户端配置代理再通过DNS或hosts文件把目标域名解析到测试机。内联脚本的核心逻辑如下from mitmproxy import http def request(flow: http.HTTPFlow) - None: if example.com/login in flow.request.pretty_url: if flow.request.method POST: with open(caught.txt, a) as f: f.write(f{flow.request.urlencoded_form} f{flow.request.headers.get(User-Agent, )}\n)这种脚本会记录所有对指定URL的POST参数不需要目标应用配合。注意urlencoded_form只对application/x-www-form-urlencoded类型生效如果目标系统用JSON传参就需要改成flow.request.get_text()。实际测试中HTTP明文流量很容易被HSTS拦截所以代理方式更适合在完全受控的离线环境复现。我自己的经验是优先用Flask本地页面完成最小验证确认日志无异常后再考虑代理方案否则排查问题时两个环节会互相干扰。3.4 实验报告里该记录什么字段与指标源码包里的实验报告通常不能只贴代码和页面截图否则领导只会看到“攻击成功”三个字。建议报告至少包含两类信息授权与范围、观测指标与复盘。前者包括测试时间、授权工单编号、允许访问的系统列表、联系人电话后者包括钓鱼链接打开率、表单提交率、提交账号是否命中真实账号、从登录页到收集成功的时间差。阶段观测指标记录字段侦察目标清单准确率URL、联系方式、邮件地址数量诱饵页面打开率邮件送达数、邮件打开数、链接点击数收集凭据提交率表单提交数、真实账号命中数、User-Agent复盘响应时间用户提交时间、告警触发时间、运维确认时间表格里的每一项都要有对应的日志来源。比如“页面打开率”可以来自邮件追踪服务“凭据提交率”必须来自CSV记录“告警触发时间”需要和SOC值班日志对照。没有日志来源的指标不要写进报告不然会造成虚假安全感。实验报告里还要留一页“防御建议”至少包括开启多因素认证、登录异常提醒、内部系统页面规范、员工安全意识培训计划。4. 避坑指南复现社工攻击时的5个常见问题与排查4.1 现象本地钓鱼页被浏览器拦成“危险网站”我用Python起的Flask页面在局域网测试时偶尔会被浏览器直接拦截显示“后续操作可能会泄露个人隐私”或者被SmartScreen标记。原因是页面没有配置HTTPS证书同时浏览器会基于站点信誉判断域名是否为危险站点。解决方式是明确这不是线上正式域名只用于本地授权测试。我会把访问地址固定为http://localhost:5000或内网IP并临时关闭第三方的站点安全检测插件。千万不要为了“提高打开率”而把未配置证书的钓鱼页外发到公网那会把测试演变成真实攻击事件。另外还需要确认访问者用的是不是公司管控浏览器。很多公司会下发放飞检测插件本地测试页面一样会被拦截。遇到这种情况提前在测试终端上做浏览器豁免或者直接把页面挂到已备案的测试域名下比在本地不断调环境更省时间。4.2 现象HTTPS证书报错导致目标拒绝访问如果你想让钓鱼页和公司系统一样使用https协议自签名证书一定会带来证书警告。这种警告会在用户还没输入账号前就打消信任感。解决方法是如果测试环境没有合法的通配符证书就不要强行上HTTPS直接用HTTP配合hosts绑定同时确保测试网段没有旁路嗅探。另一个常用做法是提前将自签名CA导入到测试客户端的信任区但注意这会让测试结果失真不能用来评估真实对抗场景。在实际操作中我会把这个坑写进实验报告的“环境限制”一节说明测试结果偏正面未必代表真实环境安全。这一点很重要因为很多用户看到“90%的人提交了账号”会觉得系统没问题实际却忽略了HTTPS警告已经替用户挡下一部分风险。4.3 现象收集到的密码中文全部乱码CSV文件在Excel打开时中文乱码通常是编码问题。encodingutf-8-sig可以解决一部分但老版本Office对UTF-8的支持仍然不稳定。更可靠的做法是写入时使用utf-8读取时按实际环境转换或在报告阶段用Python重新读取并输出编码为gbk的xlsx。这里的关键是先确认实验环境用的Python 3.8默认编码是UTF-8然后统一所有读写代码里的编码参数。还有一个经验单独在CSV里存密码本身会触发杀软扫描很多测试方案会改为只记录用户名和密码长度密码内容不落盘。这样既能完成统计学分析也减少敏感数据泄露范围。如果确需记录密码样本用于培训演示建议限制采集数量并立刻加密压缩密码文件不要和源码放在同一目录下。4.4 现象授权测试的邮件触发网关告警即使有领导签字钓鱼演练邮件一旦绕过公司邮件网关就会引发真实告警SOC会把源IP加入黑名单。解决方法是测试前邮件通知SOC值班组和网络运维组并在邮件主题中加上固定前缀如[PENTEST-2025-0421]方便网关规则识别。Python脚本里发送邮件时要确保SMTP账号和收件人范围都在白名单内否则演完一场戏自己的IP先被封了。这件事看起来简单但在重保期间很容易翻车至少提前两个工作日发变更通知。如果公司有邮件DLP系统还需要把测试邮件地址加入白名单不然正文里出现“密码过期”这类关键词会直接被拦截。我见过一个项目邮件网关自动把测试邮件隔离了大半天最后打开率从预期的70%直接掉到个位数整个演练节奏全乱。所以准备好测试前检查清单比写代码更重要。4.5 现象实验报告写成“犯罪记录”如果你在报告中直接描述“我使用Python脚本抓取员工密码并破解成功”那这份报告在法务眼里就是一份攻击自白而不是技术复盘。正确的做法是在报告第一页附上授权测试文件编号写明测试范围是模拟攻击不包含真实业务数据。对采集到的测试账号进行脱敏处理比如把真实密码替换成***只保留账号长度和复杂度统计。报告结论部分必须落到防御建议上例如开启多因素认证、对临时开放端口做收敛、加强离职账号清理。这样这份实验报告才能成为培训材料而不是风险。我习惯在报告末尾加一个“不当使用声明”说明文中所有代码和方案仅限授权环境使用并要求阅读者签名确认日期。听起来有点形式主义但真出问题时这页纸能保护你自己和团队也劝退一部分想拿源码乱用的人。5. 用检测者的眼光收尾社工攻击模拟做完后这三件事比脚本本身更重要模拟一次社会工程学攻击并不代表你理解了防护。只有把攻击结果转换成检测规则和修复建议测试才有价值。我这里通常是三个动作。第一给采集到的记录打上可追溯标记。比如在CSV里增加一列test_token每次测试使用同一个随机数方便把邮件、登录页、账号密码和处置工单串联起来。代码里只要在保存记录时加一行writer.writerow([...] [test_token])就能让后续排查少走很多弯路。第二验证检测链路。测试结束后立刻到SOC平台查询邮件网关有没有产生[PENTEST]日志EDR有没有对诱饵文件告警用户有没有手动上报。如果没有任何告警说明检测规则存在盲区这比攻击本身更有价值。要把告警缺失记录为一项待修复问题。第三给业务系统做一次及时修复。钓鱼演练中最容易暴露的是账号没有启用多因素认证、登录没有异常地提醒、管理员账号没有限制来源IP。把这些问题按严重程度排期比再写一个钓鱼模板更值得投入。以上这些步骤都做完了那份zip里的代码对你来说就从一个攻击demo变成了一个可复用的安全测试基线。我吃过亏早期只顾着把页面做得像、把脚本跑通最后忘记留授权痕迹结果被合规追着补材料。希望你拿到的每一份源码都能在自己的授权环境里快速变成一份能说服老板的防御报告——希望帮到你。本文还有配套的精品资源点击获取