用途：在红队演练、社会工程学评估与安全意识测试中，模拟钓鱼、凭证收集、借口话术（pretexting）等攻击，用于检验人员与流程的防护能力。
主要能力：覆盖钓鱼邮件与附件（Office宏、PDF、HTA）、伪造发件人与SMTP测试、克隆合法站点、凭证收集服务器（PHP/Flask）、语音钓鱼（vishing）、短信钓鱼（smishing）、USB投放（Rubber Ducky/Bash Bunny）、二维码钓鱼、水坑攻击与浏览器攻击（BeEF）、伪装更新页，以及LinkedIn等社交媒体的信息收集。
使用方式：常用工具包括Gophish（下载解压后chmod +x gophish并运行，Web界面默认https://localhost:3333，默认admin:gophish）、SET（运行setoolkit，菜单1→2→3进入Credential Harvester）、BeEF（./beef，默认beef:beef）、sendEmail与swaks发信、HTTrack/wget克隆站点、qrencode生成二维码。Gophish流程为配置邮件模板、落地页、发送配置、目标组后创建并启动活动。
适用场景：红队交战、安全意识测试、社会工程学评估。
限制与要求：任何活动都必须有书面授权和明确范围，否则停止；点击后的技术利用应使用相应的后渗透技能；分析收到的钓鱼邮件应使用analyzing-phishing-emails。需遵守ROE、保护并事后删除收集的数据、负责任地报告。资料未提供具体收费、价格或效果数据。