用途：在获得组织领导层明确书面授权后，执行钓鱼模拟演练，评估员工对邮件社会工程攻击的易感性，测试邮件安全控制（安全邮件网关、DMARC、SPF、DKIM）的有效性，作为红队演练的社工环节，建立安全意识培训前的易感性基线，并验证员工上报可疑邮件时的事件响应流程。
主要能力：规划与构建仿真钓鱼场景，包括 IT 支持、人力资源、高管假冒、供应商、云服务等 pretext；按部门、角色或访问级别进行目标分组，并选择发送时机；搭建钓鱼基础设施，注册相似域名、申请 TLS 证书、配置 GoPhish 服务器与 SMTP 发送配置、创建带跟踪像素的邮件模板和凭据收集落地页，并配置 SPF、DKIM、DMARC 以提高送达率；分批发送邮件并实时监控打开、点击、凭据提交等指标；在授权范围内处理捕获凭据以演示影响；最后分析送达率、打开率、点击率、提交率、上报率，并按部门比较，形成评估报告与改进建议。
使用方式：典型流程为规划与 pretext 开发、基础设施搭建、执行活动、凭据捕获与访问演示、分析与报告。工具可选用 GoPhish、Evilginx2、King Phisher、SET 等。运行前需取得书面授权、与 IT/安全团队协调白名单或测试绕过控制、准备员工邮箱列表、向响应团队通报时间线和上报流程，并设置紧急停止程序。
适用场景：企业安全意识基线评估、邮件安全控制有效性测试、红队初始访问社工环节、部署安全意识培训前后的对比测量、事件响应流程验证。
限制：不得在无组织高层明确书面授权时使用；不得超出授权范围进行真实凭据窃取；不得针对个人而非职务进行攻击；不得发送可能造成心理伤害或法律责任的钓鱼邮件。资料未提供具体价格、平台限制或效果保证。
关键概念：Pretext（伪造场景）、Credential Harvesting（凭据收集）、GoPhish、Spear Phishing（鱼叉式钓鱼）、Typosquatting（域名仿冒）、Security Awareness（安全意识）、DMARC（基于域的消息认证、报告与一致性）。