关于邮件伪造的一些新思路

本文首发于 I春秋

起因:

由于红队工作的原因,我们需要不定期对公司内部的设备及人员发起攻击,但是常规的WEB攻击或者系统服务攻击,并不能完整的模拟出外部的威胁。所以在这段时间,我也就研究了一下邮件伪造技术。(当然本文中的伪造肯定不同于常规的伪造)。

在讨论邮件伪造的主题之前,我们先来简单了解一下这几个协议(POP3,IMAP,SMTP)与SPF。

1.POP3:

POP3即“Post Office Protocol - Version 3”,其作用是客户端连接服务器下载服务器中所有未阅读的邮件。

2.IMAP:

IMAP即“Internet Mail Access Protocol”,它不同于POP3,POP3协议并不会将客户端对邮件进行的操作同步至服务器。当使用IMAP协议与邮件服务器交互的时候,你在客户端对邮件进行的操作都会同步到服务器上,所以IMAP也叫做交互式邮件存取协议。

3.SMTP

SMTP协议即“Simple Mail Transfer Protocol”简单邮件传输协议。它是用于从源地址到目标地址传输邮件的规范。通过该协议来控制邮件的中转。而我们常用的邮件供应商所提供的邮件服务,基本都是采用的SMTP协议进行传输。
SMTP协议同时也要求了客户端连接服务器需要进行认证(如果允许匿名登录那就另当别论了)。但是它也仅仅只要求了客户端需要与服务端进行认证。而SMTP服务器之间传输邮件的过程是不需要进行认证的。这也就是邮件伪造的关键点所在。

4.SPF

SPF即“Sender Policy Framework”是一种以IP地址认证电子邮件发件人身份的技术。 接收邮件方会首先检查域名的SPF记录,来确定发件人的IP地址是否被包含在SPF记录里面,如果在,就认为是一封正确的邮件,否则会认为是一封伪造的邮件进行退回。
SPF可以防止别人伪造你来发邮件,是一个反伪造性邮件的解决方案。当你定义了你域名的SPF记录之后, 接收邮件方会根据你的SPF记录来确定连接过来的IP地址是否被包含在SPF记录里面,如果在,则认为是一封正确的邮件,否则则认为是一封伪造的邮件。

传统的邮件伪造

当我们在进行邮件伪造的时候,一般都会去查询对应域名的SPF记录,如下腾讯便使用了SPF技术:


基本上现在很难有看到没有使用SPF的大厂域名了。当我们伪造邮件的时候,如果域名有设置SPF,那么我们基本就很难进行传统的伪造了。

但是优良传统不能忘,这里我还是得举个使用Swaks进行邮件伪造的例子。(公司内部邮箱)
关于Swaks的具体用法请自行百度。毕竟它不是本文的关键。

Swaks

这里我已经收到了邮件,但是其在邮件中提示了SPF Failed,这就是虽然我们公司做了SPF,但是其规则存在问题,所以会出现拦截失败的状况。但是这种拦截失败的提示对于财务,人力等非技术人员来说可能并不会注意,但是对于技术人员来说当收到这种邮件的时候,肯定会起疑。所以我们在进行红队钓鱼工作的时候,可以有针对性的对特定目标进行钓鱼。

非传统性邮件伪造(基于客户端漏洞的伪造),以腾讯邮箱为例

首先,我们知道,腾讯邮箱是做了SPF策略的。当我们使用Swaks去伪造管理员用户的时候,是无法伪造成功的。如下,550错误


但是这样我们是否就无法进行伪造了?当然可以继续伪造,不过我们需要使用的方法不同而已。
首先我们需要知道,SMTP协议发送邮件的时候,是使用Mail From来指定发件人,但同时需要我们知道的还有一点即(发件人别名),这个是我们可以自定义的,那么这个时候我们来大胆猜测一下。发件人别名有什么用?而邮件客户端是如何去对它进行处理的。因此我对QQ邮箱进行了FUZZ测试。测试结果如下图所示:

可以看到我收到了以admin@qq.com为发件人发送的邮件。这个时候我在给你们看看邮件原文,你们应该就知道这是为什么了。

其实就是我通过修改“发件人别名”在其中填充大量的特殊字符,从而使邮箱客户端截取实际发件人失败,导致实际显示效果为我们伪造的邮箱及发件人。

以下为发件人别名payload,当然也可以自己写个SMTP脚本进行测试。脚本我已经写好了,但是敏感时期就不发了。大家可以使用outlook进行测试。

管理员 <admin@qq.com>                                                                                                                            ···                         ···

最后

经过测试,并非只有腾讯邮箱存在这样的问题,各个邮件厂商都或多或少的存在问题,同时我也将这个问题提交给了腾讯SRC,但是他们的回复是这是符合RFC标准和协议的伪造场景。SO,我也就没什么好说的了。但好在这次研究中也发现了一些Outlook与Exchange的问题。

最后放上一张图,不知道这算不算邮件伪造成功或者伪造漏洞?

最后最后:

以上利用点仅用于研究,或红队公司内部任务使用,切勿用于非法用途,望周知!

最后编辑于
©著作权归作者所有,转载或内容合作请联系作者
  • 序言:七十年代末,一起剥皮案震惊了整个滨河市,随后出现的几起案子,更是在滨河造成了极大的恐慌,老刑警刘岩,带你破解...
    沈念sama阅读 140,587评论 1 295
  • 序言:滨河连续发生了三起死亡事件,死亡现场离奇诡异,居然都是意外死亡,警方通过查阅死者的电脑和手机,发现死者居然都...
    沈念sama阅读 60,384评论 1 254
  • 文/潘晓璐 我一进店门,熙熙楼的掌柜王于贵愁眉苦脸地迎上来,“玉大人,你说我怎么就摊上这事。” “怎么了?”我有些...
    开封第一讲书人阅读 92,492评论 0 206
  • 文/不坏的土叔 我叫张陵,是天一观的道长。 经常有香客问我,道长,这世上最难降的妖魔是什么? 我笑而不...
    开封第一讲书人阅读 40,584评论 0 171
  • 正文 为了忘掉前任,我火速办了婚礼,结果婚礼上,老公的妹妹穿的比我还像新娘。我一直安慰自己,他们只是感情好,可当我...
    茶点故事阅读 48,270评论 1 250
  • 文/花漫 我一把揭开白布。 她就那样静静地躺着,像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上,一...
    开封第一讲书人阅读 38,517评论 1 167
  • 那天,我揣着相机与录音,去河边找鬼。 笑死,一个胖子当着我的面吹牛,可吹牛的内容都是我干的。 我是一名探鬼主播,决...
    沈念sama阅读 30,227评论 2 266
  • 文/苍兰香墨 我猛地睁开眼,长吁一口气:“原来是场噩梦啊……” “哼!你这毒妇竟也来了?” 一声冷哼从身侧响起,我...
    开封第一讲书人阅读 29,001评论 0 161
  • 想象着我的养父在大火中拼命挣扎,窒息,最后皮肤化为焦炭。我心中就已经是抑制不住地欢快,这就叫做以其人之道,还治其人...
    爱写小说的胖达阅读 28,705评论 6 223
  • 序言:老挝万荣一对情侣失踪,失踪者是张志新(化名)和其女友刘颖,没想到半个月后,有当地人在树林里发现了一具尸体,经...
    沈念sama阅读 32,339评论 0 211
  • 正文 独居荒郊野岭守林人离奇死亡,尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 29,105评论 2 211
  • 正文 我和宋清朗相恋三年,在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 30,432评论 1 222
  • 白月光回国,霸总把我这个替身辞退。还一脸阴沉的警告我。[不要出现在思思面前, 不然我有一百种方法让你生不如死。]我...
    爱写小说的胖达阅读 24,131评论 0 31
  • 序言:一个原本活蹦乱跳的男人离奇死亡,死状恐怖,灵堂内的尸体忽然破棺而出,到底是诈尸还是另有隐情,我是刑警宁泽,带...
    沈念sama阅读 26,950评论 2 208
  • 正文 年R本政府宣布,位于F岛的核电站,受9级特大地震影响,放射性物质发生泄漏。R本人自食恶果不足惜,却给世界环境...
    茶点故事阅读 31,335评论 3 200
  • 文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹,春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 25,571评论 0 8
  • 文/苍兰香墨 我抬头看了看天上的太阳。三九已至,却和暖如春,着一层夹袄步出监牢的瞬间,已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 25,897评论 0 163
  • 我被黑心中介骗来泰国打工, 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留,地道东北人。 一个月前我还...
    沈念sama阅读 33,295评论 2 226
  • 正文 我出身青楼,却偏偏与公主长得像,于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子,可洞房花烛夜当晚...
    茶点故事阅读 33,414评论 2 228

推荐阅读更多精彩内容

  • 前言 在开发中,经常需要写sql语句。但有个很严重的问题, sql 语句是 字符串型的,书写容易出错。 所以要封装...
    jianshudxw阅读 1,119评论 0 0
  • 不肯与君相决绝。 你和我,这个拥抱,来得好晚。 这一年,我六十岁了,头发白了,牙齿松了,是个不再活泼的老太太。 三...
    女巫陈儿阅读 678评论 2 9
  • 表妹还有一个多月就生产了。 他们都说 我们家族里下一个就该你了。每当这时,总感觉自己的心上像是压了一块重重的铁...
    栗么阅读 189评论 0 0