搜索

[991] 2020-05-18_邮件伪造之SPF绕过的5种思路

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2020-05-18_邮件伪造之SPF绕过的5种思路 邮 件 伪 造 之 S P F 绕 过 的 5 种 思 路 原 创   B y p a s s   B y p a s s   2 0 2 0 - 0 5 - 1 8 S M T P ( S i m p l e M a i l   T r a n s f e r   P r o t o c o l )   即 简 单 邮 件 传 输 协 议 ， 正 如 名 字 所 暗 示 的 那 样 ， 它 其 实 是 一 个 非 常 简 单 的 传 输 协 议 ， 无 需 身 份 认 证 ， 而 且 发 件 人 的 邮 箱 地 址 是 可 以 由 发 信 方 任 意 声 明 的 ， 利 用 这 个 特 性 可 以 伪 造 任 意 发 件 人 。 S P F 出 现 的 目 的 ， 就 是 为 了 防 止 随 意 伪 造 发 件 人 。 S P F ， 全 称 为   S e n d e r   P o l i c y   F r a m e w o r k ， 是 一 种 以 I P 地 址 认 证 电 子 邮 件 发 件 人 身 份 的 技 术 。 邮 件 接 收 方 首 先 会 去 检 查 域 名 的 S P F 记 录 ， 来 确 定 发 件 人 的 I P 地 址 是 否 被 包 含 在 S P F 记 录 里 面 ， 如 果 在 ， 就 认 为 是 一 封 正 确 的 邮 件 ， 否 则 会 认 为 是 一 封 伪 造 的 邮 件 并 进 行 退 回 。 众 所 周 知 ， 如 果 没 有 配 置 S P F ， 攻 击 者 可 以 任 意 伪 造 邮 件 ， 即 使 配 置 了 S P F ， 在 特 定 的 情 况 下 ， 依 然 可 以 完 美 伪 造 邮 件 发 件 人 。 当 我 们 开 始 查 看 一 个 目 标 邮 箱 的 S P F 记 录 时 ， 一 场 关 于 邮 件 安 全 策 略 的 对 抗 也 就 开 始 了 。 本 文 结 合 S P F 配 置 的 过 程 ， 通 过 一 些 邮 件 测 试 验 证 ， 分 享 了 5 种 S P F 绕 过 的 思 路 。 从 攻 击 者 的 视 角 出 发 ， 来 看 看 它 会 如 何 绕 过 S P F 检 测 ， 完 美 伪 造 邮 件 人 地 址 ， 并 成 功 投 递 到 目 标 邮 箱 ， 欢 迎 指 正 和 补 充 ～ 1 、 、 S P F 解 析 不 当 导 致 绕 过 解 析 不 当 导 致 绕 过 假 设 我 的 S P F 记 录 设 置 为 ： 这 条 S P F 记 录 的 意 思 是 说 只 允 许   范 围 内 的 I P ， 软 拒 绝 ， 发 件   I P   非 法 ， 但 是 不 采 取 强 硬 措 施 。 这 就 存 在 两 个 严 重 的 安 全 隐 患 ： 一 个 是 I P 段 过 大 ， 在 C 段 里 面 ， 只 要 获 取 任 意 一 台 主 机 的 权 限 ， 那 么 就 可 以 使 用 合 法 的 I P 进 行 邮 件 伪 造 。 一 个 是 软 拒 绝 ， 也 就 是 会 接 受 来 信 ， 但 可 能 被 标 记 为 垃 圾 邮 件 。 如 果 S P F 记 录 设 置 拒 绝 ， 就 会 有 大 量 的 邮 件 被 丢 弃 或 者 隔 离 ， 影 响 办 公 效 率 ， 有 一 些 邮 件 系 统 管 理 员 为 了 减 少 业 务 影 响 ， 而 采 用 软 拒 绝 的 策 略 。 当 S P F 记 录 设 置 成 ~ a l l 时 ， 通 过 测 试 可 以 发 现 ， o u t l o o k 邮 箱 可 以 接 收 邮 件 ， Q Q 邮 箱 不 接 收 ， 1 6 3 邮 箱 被 标 记 为 垃 圾 邮 件 。 还 有 一 种 极 为 严 重 的 错 误 ， 就 是 S P F 解 析 记 录 配 置 错 误 ， 早 在 之 前 鹅 厂 就 出 现 过 S P F 解 析 错 误 ， 比 如 ： 这 里 介 绍 一 个 工 具 ， 输 入 域 名 和 S P F 记 录 ， 可 快 速 检 查 S P F 记 录 是 否 正 确 测 试 地 址 ： S P F 记 录 报 错 ， 在 这 条 S P F 记 录 中 ， 存 在 多 个 I P 段 ， 但 只 有 开 头 的 一 段 i p 用 了 i p v 4 ， 这 就 导 致 了 语 法 错 误 。 因 为 这 个 错 误 ， 将 导 致 整 个 S P F 记 录 完 全 失 效 ， 因 为 S P F 无 效 ， 邮 件 接 收 方 的 S P F 检 测 功 能 也 就 失 效 了 。 综 上 ， 当 我 们 在 查 看 一 个 域 名 的 S P F 记 录 时 ， 它 其 实 不 只 是 一 条 解 析 记 录 ， 更 是 一 种 邮 件 安 全 的 策 略 ， S P F 记 录 配 置 不 严 或 S P F 解 析 错 误 ， 就 容 易 导 致 大 量 本 该 被 拦 截 的 邮 件 直 接 被 放 进 来 ， 而 绕 过 的 策 略 就 隐 藏 在 这 条 S P F 记 录 里 面 。 2 、 、 S P F 配 置 不 当 导 致 绕 过 配 置 不 当 导 致 绕 过 邮 件 服 务 器 管 理 员 做 S P F 配 置 时 ， 其 实 是 需 要 两 个 步 骤 的 ， 首 先 在 域 名 中 增 加 S P F 记 录 ， 向 支 持 S P F 功 能 的 邮 件 服 务 器 提 供 验 证 信 息 ， 使 别 人 能 验 证 自 己 ； 另 外 ， 需 要 配 置 邮 件 服 务 器 支 持   S P F ， 这 样 才 可 以 验 证 别 人 。 那 么 ， 在 S P F 配 置 过 程 中 ， 也 常 常 因 为 配 置 不 当 导 致 绕 过 ， 比 如 ： 第 一 种 情 况 ： 域 名 增 加 了 S P F 记 录 ， 但 是 邮 件 服 务 器 不 支 持 S P F 检 查 或 邮 件 网 关 未 开 启 S P F 检 测 ， 无 法 验 证 邮 件 来 源 。 这 种 情 况 下 ， 我 们 声 明 了 自 己 是 谁 ， 但 却 无 法 验 证 对 方 是 谁 ， S P F 检 测 无 效 ， 可 伪 造 任 意 用 户 发 送 到 你 n s l o o k u p   - t y p e = t x t   q q . c o m v = s p f 1   i p 4 : 2 2 0 . x x x . 1 0 . 0 / 2 4   ~ a l l 2 2 0 . x x x . 1 0 . 1 ~ 2 2 0 . x x x . 1 0 . 2 5 5 v = s p f 1   i p 4 : 1 1 3 . 1 1 0 . 2 2 3 . 0 / 2 4   1 8 3 . 1 1 0 . 2 2 6 . 0 / 2 4   1 8 3 . 1 1 0 . 2 5 5 . 0 / 2 4   5 9 . 1 1 0 . 1 3 2 . 0 / 2 4   - a l l h t t p s : / / w w w . k i t t e r m a n . c o m / s p f / v a l i d a t e . h t m l
的 域 名 邮 箱 里 。 第 二 种 情 况 ： S P F 解 析 在 公 网 D N S ， 邮 件 服 务 器 配 置 内 部 D N S ， 内 部 D N S 无 法 进 行 S P F 解 析 ， 从 而 导 致 绕 过 ， 可 从 公 网 伪 造 任 意 用 户 发 送 邮 件 。 第 三 种 情 况 ： 攻 击 者 在 公 司 内 网 ， 内 网 S M T P 服 务 器 开 启 匿 名 邮 件 发 送 或 者 在 信 任 中 继 服 务 器 I P 段 ， 就 可 以 使 用 任 意 用 户 发 送 邮 件 。 比 如 ， 当   ， 在 内 网 ， 任 意 一 台 终 端 就 可 以 直 连 公 司 的 S M T P 服 务 器 ， 伪 造 了 一 封 来 自 的 邮 件 发 给 自 己 。 测 试 效 果 如 下 ： 3 、 高 权 限 用 户 绕 过 、 高 权 限 用 户 绕 过 对 于 E x c h a n g e 邮 箱 系 统 ， 拥 有 权 限 的 域 用 户 ， 可 通 过 o u t l o o k 直 接 指 定 发 件 人 ， 伪 造 任 意 发 件 人 发 送 邮 件 。 伪 造 邮 件 的 方 式 十 分 简 单 ， 且 邮 件 头 无 法 显 示 真 实 I P 。 测 试 过 程 ： 我 给 自 己 的 账 号 也 添 加 了 权 限 。 使 用 客 户 端 指 定 发 件 人 发 送 邮 件 ， 接 收 邮 件 直 接 显 示 伪 造 人 的 名 字 ， 伪 造 成 功 。 使 用 客 户 端 测 试 ， 邮 件 接 收 方 的 发 件 人 位 置 显 示 ” X X X 代 表 X X X ” 。 存 在 一 定 的 邮 件 伪 造 风 险 ， 但 在 实 际 中 意 义 并 不 大 ， 如 果 拥 有 了 权 限 ， 哪 里 还 需 要 邮 件 伪 造 呢 ？ 4 、 邮 件 客 户 端 内 容 解 析 差 异 、 邮 件 客 户 端 内 容 解 析 差 异 很 多 时 候 ， 大 部 分 的 企 业 邮 箱 S P F 配 置 都 是 正 确 的 ， 理 论 上 ， 它 会 对 每 一 封 邮 件 进 行 检 测 ， 那 么 它 是 怎 么 验 证 发 件 人 的 I P 地 址 的 呢 ？ 我 们 使 用 一 个 S P F 在 线 检 测 的 工 具 ， 来 做 一 下 小 小 的 尝 试 ， 利 用 我 本 地 搭 建 的 匿 名 S M T P 服 务 器 伪 造 a d m i n @ q q . c o m 邮 箱 。 测 试 地 址 ： m y n e t w o r k s   =   1 9 2 . 1 6 8 . 0 . 0 / 1 6 a d m i n @ q q . c o m p y t h o n   S i m p l e E m a i l S p o o f e r . p y   - t   [ 目 标 邮 箱 ]     - n   Q Q 邮 箱 管 理 员   - f   a d m i n @ q q . c o m   - j   " 邮 件 主 题 "     - e   1 . t x t     - s   [ 内 网 邮 件 服 务 器 I P ] D o m a i n   a d m i n D o m a i n   a d m i n O u t l o o k 2 0 1 3 O u t l o o k 2 0 1 6 D o m a i n   a d m i n h t t p s : / / w w w . k i t t e r m a n . c o m / s p f / v a l i d a t e . h t m l
点 击 T e s t   S P F   R e c o d 进 行 验 证 ： 结 果 毫 无 疑 问 ， S P F 验 证 失 败 ， 伪 造 邮 箱 不 成 功 ， 伪 造 的 邮 件 将 会 被 退 回 。 通 过 查 看 邮 件 头 信 息 ， 有 两 个 比 较 重 要 的 字 段 ， S e n d e r 和 F r o m 。 S e n d e r 字 段 ， 代 表 的 是 邮 件 的 实 际 发 送 者 ， 邮 件 接 收 方 会 对 它 的 邮 件 域 名 进 行 S P F 检 测 ， 确 认 是 否 包 含 了 发 信 人 的 I P 地 址 。 F r o m 字 段 ， 代 表 的 是 邮 件 发 送 人 ， 即 邮 件 里 所 显 示 的 发 件 人 ， 容 易 被 伪 造 。 在 S P F 配 置 有 效 的 情 况 下 ， S e n d e r 必 须 通 过 S P F 检 验 ， 所 以 我 们 可 以 设 置 为 正 常 的 邮 件 服 务 器 地 址 ， 然 后 对 F r o m 字 段 进 行 伪 造 。 使 用 s w a k s 做 一 个 邮 件 测 试 ： Q Q 邮 箱 网 页 版 查 看 邮 件 ， S e n d e r 和 F r o m 字 段 不 一 样 时 ， 发 件 人 的 位 置 显 示 由 a d m i n @ e v i l . c o m 代 发 。 使 用 F o x m a i l 客 户 端 查 看 同 一 封 邮 件 ， S e n d e r 和 F r o m 字 段 不 一 样 时 ， 不 显 示 代 发 ， 伪 造 成 功 。 我 们 分 别 使 用 网 页 版 邮 箱 和 客 户 端 邮 箱 打 开 同 一 封 邮 件 ， 通 过 对 比 可 以 发 现 ， 不 同 的 邮 件 客 户 端 对 发 件 人 位 置 的 内 容 解 析 是 不 一 样 的 。 平 时 工 作 中 ， 不 少 使 用 腾 讯 企 业 邮 箱 的 童 鞋 ， 都 喜 欢 使 用 F o x m a i l 客 户 端 查 收 邮 件 ， 这 就 给 了 我 们 成 功 伪 造 邮 件 的 可 乘 之 机 。 通 过 测 试 可 以 发 现 ： q q 邮 箱 、 1 6 3 邮 箱 网 页 版 均 会 显 示 代 发 ， O u t l o o k 邮 箱 不 显 示 代 发 ， 具 体 邮 件 客 户 端 软 件 可 具 体 再 行 测 试 。 5 、 、 F r o m 字 段 名 截 断 绕 过 字 段 名 截 断 绕 过 1 、 在 I P   a d d r e s s :   里 输 入 将 要 发 信 的 I P 地 址 ， 即 本 地 i p 地 址 。 2 、 S P F   R e c o r d   v = s p f 1 . . . : / / - - > ： 输 入 n s l o o k u p 查 出 来 的 S P F 记 录 3 、 M a i l   F r o m   a d d r e s s ： 输 入 将 要 发 信 的 发 件 人 s u d o   . / s w a k s   - - t o   6 7 * * * * * 2 8 @ q q . c o m     - - f r o m   a d m i n @ e v i l . c o m     - - h - F r o m :   ' = ? G B 2 3 1 2 ? B ? U V H T y s / k u d z A 7 d S x ? =   < a d m i n @ q q . c o m > '   - - e h l o   e v i l . c o m   - - b o d y   h e l l o   - - h e a d e r   " S u b j e c t :   t e s t " 其 中 参 数 ： - - f r o m       < 实 际 发 件 人 ， 对 应 S e n d e r 字 段 > - - h - F r o m   < 邮 件 显 示 的 发 件 人 ， 对 应 F r o m 字 段 >
当 我 们 伪 造 邮 件 发 送 成 功 的 时 候 ， 由 于 S e n d e r 和 F r o m 字 段 不 一 样 ， 部 分 邮 件 客 户 端 接 收 邮 件 后 ， 会 提 示 邮 件 代 发 。 那 么 有 没 有 办 法 只 显 示 伪 造 的 发 件 人 ， 不 显 示 邮 件 代 发 呢 ？ 在 网 络 上 看 到 一 种 思 路 ， 来 源 于 网 贴 《 关 于 邮 件 伪 造 的 一 些 新 思 路 》 ， 挺 有 意 思 的 。 在 用 S M T P 发 送 电 子 邮 件 时 ， 发 件 人 别 名 ， 格 式 为 ： 。 通 过 对 发 件 人 别 名 字 段 填 充 大 量 的 特 殊 字 符 ， 使 邮 箱 客 户 端 截 取 真 实 的 邮 件 地 址 失 败 ， 从 而 只 展 示 我 们 伪 造 的 发 件 人 别 名 和 伪 造 邮 箱 。 邮 件 伪 造 测 试 过 程 ： 1 、 在 Q Q 邮 箱 中 导 出 m a i l . e m l 文 件 ， 删 除 前 面 不 必 要 的 字 段 信 息 。 2 、 填 充 发 件 人 别 名 ， 伪 造 邮 件 头 F r o n 字 段 ： 3 、 使 用   — d a t a 参 数 发 送 邮 件 。 4 、 成 功 发 送 给 目 标 邮 箱 ， Q Q 邮 箱 接 收 邮 件 后 的 呈 现 效 果 ： 备 注 ： 从 测 试 情 况 看 ， 我 伪 造 的 邮 件 进 了 Q Q 垃 圾 箱 ， 但 这 种 思 路 还 是 挺 不 错 的 ， 重 新 F u z z ， 或 许 可 以 构 造 特 殊 的 数 据 包 触 发 这 个 问 题 。 F r o m ： 发 件 人 别 名 < 邮 件 地 址 > F r o m : = ? g b 2 3 1 2 ? B ? u d z A 7 d S x I D x h Z G 1 p b k B x c S 5 j b 2 0 + 0 a G h o a G h o a G h o a G h o a G h o a G h o a G h o Q = = ? = = ? g b 2 3 1 2 ? B ? o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h ? = = ? g b 2 3 1 2 ? B ? o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h ? = = ? g b 2 3 1 2 ? B ? o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h ? = = ? g b 2 3 1 2 ? B ? o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h o a G h ? = = ? g b 2 3 1 2 ? B ? o a G h o a G h o a G h o a G h o a G h o a G h o a G h o S A g I C A g I C A g I C A g I C A g I C A g I K G k o a Q = ? = = ? g b 2 3 1 2 ? B ? o a Q g I C A g I C A g I C A g I C A g I C A g I K G h I C A g I C A g I K G k o a S h p A = = ? =     < a d m i n @ t e s t . c o m > s u d o   . / s w a k s   - - d a t a   m a i l . e m l   - - t o   6 7 * * * * * 2 8 @ q q . c o m   - - f r o m   a d m i n @ t e s t . c o m
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理