搜索

[15567] 2020-07-04_Gsuite邮件发送功能中的SMTP注入漏洞分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-07-04_Gsuite邮件发送功能中的SMTP注入漏洞分析 G s u i t e 邮 件 发 送 功 能 中 的 S M T P 注 入 漏 洞 分 析 c l o u d s   F r e e B u f   2 0 2 0 - 0 7 - 0 4 本 文 讲 述 了 作 者 通 过 本 文 讲 述 了 作 者 通 过 G s u i t e 邮 件 发 送 功 能 ， 可 构 造 后 缀 为 邮 件 发 送 功 能 ， 可 构 造 后 缀 为 @ g o o g l e . c o m 的 任 意 发 件 人 身 份 ， 实 现 的 任 意 发 件 人 身 份 ， 实 现 S M T P 注 入 ， 注 入 ， 漏 洞 获 得 了 谷 歌 漏 洞 获 得 了 谷 歌 $ 3 1 3 3 . 7 的 奖 励 。 的 奖 励 。 G s u i t e 是 谷 歌 旗 下 的 一 款 整 合 协 同 办 公 软 件 ， 它 可 以 用 来 管 理 组 织 机 构 内 部 账 户 ， 允 许 管 理 员 对 内 部 账 户 进 行 权 限 划 分 、 应 用 程 序 访 问 控 制 、 通 讯 录 查 看 以 及 邮 件 头 应 用 等 操 作 。 其 中 ， G s u i t e 的 邮 件 头 应 用 功 能 引 起 了 我 的 兴 趣 ， 如 今 的 电 子 邮 件 头 中 包 含 了 一 些 可 以 “ 利 用 ” 的 S M T P 协 议 信 息 ， 它 算 是 一 种 古 老 的 通 信 协 议 了 ， 几 乎 每 个 接 触 互 联 网 的 人 都 会 使 用 到 它 。 这 里 的 “ 利 用 ” 指 的 是 我 们 可 以 从 中 发 现 一 些 有 用 信 息 ， 从 而 做 一 些 尝 试 性 的 欺 骗 测 试 。 谷 歌 这 种 大 厂 其 实 也 难 免 犯 错 ， 这 不 ， 我 就 发 现 了 G s u i t e 的 邮 件 配 置 存 在 漏 洞 ， 攻 击 者 可 以 利 用 该 漏 洞 伪 造 谷 歌 服 务 器 的 发 送 邮 件 。 S M T P 协 议 背 景 协 议 背 景 本 质 上 来 说 ， 如 果 可 以 建 立 连 接 到 某 个 S M T P 服 务 器 的 接 口 ， 就 能 按 相 应 步 骤 向 任 意 邮 件 地 址 发 送 电 子 邮 件 了 ， 这 里 更 重 要 的 是 ， 可 以 以 任 意 发 件 人 身 份 进 行 邮 件 发 送 。 所 以 ， 这 种 情 况 下 会 引 发 一 系 列 的 混 乱 问 题 ， 因 为 作 为 收 件 人 来 说 ， 他 邮 件 内 的 发 件 人 身 份 完 全 是 不 可 信 的 。 通 常 ， 我 们 可 以 从 以 下 几 条 简 单 的 S M T P 命 令 来 了 解 S M T P 协 议 ： 1 、 ‘ M A I L   F R O M ’ :   发 件 人 身 份 （ 发 件 人 邮 箱 地 址 ） ， 再 强 调 一 下 ,   这 里 可 以 是 任 意 地 址 ， 如 q u e e n @ y e s I R e a l l y A m T h e Q u e e n . c o m ； 2 、 ‘ R C P T   T O ’ :   收 件 人 邮 箱 地 址 ； 3 、 ‘ D A T A ’ :   邮 件 内 容 。 就 这 些 ， 没 有 c c （ 转 发 ） ， 没 有 b c c （ 私 密 发 送 ） 和 s u b j e c t （ 主 题 ） 等 头 信 息 ， 它 们 都 是 后 续 的 内 容 了 。 那 现 在 如 何 来 利 用 呢 ？ 我 们 可 以 把 一 些 额 外 的 头 信 息 放 到 上 述 的 邮 件 内 容 字 段 （ D A T A ） 里 ， 比 如 ， 在 D A T A 的 开 头 部 分 中 加 入 任 意 的 头 信 息 ， 只 要 发 件 人 和 收 件 人 可 以 解 析 理 解 都 行 ， 按 R F C 定 义 来 讲 ， 每 个 头 信 息 都 新 占 一 行 ， 头 名 （ h e a d e r ） 和 值 之 间 以 冒 号 分 隔 。 如 以 下 简 单 的 例 子 ： 伪 造 发 件 人 身 份 伪 造 发 件 人 身 份 显 然 ， 如 果 上 述 问 题 得 不 到 解 决 ， 且 随 着 时 间 的 推 移 ， 基 于 S M T P 的 身 份 和 内 容 验 证 措 施 推 出 ， 那 么 电 子 邮 件 就 不 会 是 一 个 很 好 的 交 流 工 具 了 。 在 此 ， 我 们 不 展 开 讨 论 其 安 全 机 制 。 但 是 ， 我 们 要 记 住 的 是 ， 在 如 今 的 邮 件 协 议 中 ， 验 证 发 件 人 身 份 的 就 仅 只 是 “ 自 称 是 谁 就 是 谁 ” 的 D N S 域 名 验 证 ( D N S   d o m a i n   v a l i d a t i o n ) 。 所 以 ， 如 果 我 拥 有 ‘ g o o g l e . c o m ’ 网 站 ， 就 可 以 设 置 一 个 域 名 服 务 记 录 ， 配 置 所 有 的 S M T P 服 务 器 发 自 ‘ g o o g l e . c o m ’ 的 邮 件 为 安 全 可 信 邮 件 ， 其 它 发 件 都 是 垃 圾 邮 件 。 也 就 是 说 ， 如 果 可 以 伪 造 （ S p o o f ） 谷 歌 服 务 器 的 发 件 ， 那 么 其 可 信 度 也 就 非 常 之 高 了 。 S M T P   F R O M : a d m i n @ g o o g l e . c o m S M T P   T O : V i c t i m @ g m a i l . c o m D A T A : b c c :   a t t a c k e r @ g m a i l . c o m S e n d   m e   a l l   y o u r   m o n e y ! !
回 到 回 到 G s u i t e 有 了 上 述 思 路 ， 我 们 就 来 测 试 一 下 G s u i t e 的 邮 件 功 能 。 如 果 你 登 录 a d m i n . g o o g l e . c o m ， 转 到 A p p s   - >   G   S u i t e   - >   S e t t i n g s f o r   G m a i l - > A d v a n c e d   s e t t i n g s - > R o u t i n g 下 ， 就 能 在 其 中 添 加 进 出 邮 件 的 “ 邮 件 路 由 设 置 ” 规 则 ， 其 中 一 个 可 选 项 就 是 为 所 有 邮 件 配 置 一 条 “ 自 定 义 头 ” : 基 于 上 述 的 测 试 构 想 ， 我 们 可 以 假 设 其 所 谓 的 “ 自 定 义 头 ” 是 添 加 到 S M T P 协 议 的 ‘ D A T A ’ 内 容 中 去 的 ， 所 以 ， 如 果 能 在 其 中 添 加 进 任 意 头 信 息 ， 那 么 也 就 能 操 控 邮 件 内 容 了 。 然 而 ， 实 际 情 况 并 非 如 此 ， G s u i t e 中 的 自 定 义 头 有 一 个 “ X - ” 前 导 ， 因 此 貌 似 我 们 不 能 完 全 控 制 头 名 称 ， 但 是 ， 等 等 ！ 前 面 我 们 说 过 ， 按 照 R F C 规 则 惯 例 ， 每 个 头 信 息 都 是 新 占 一 行 的 。 如 果 我 们 可 以 插 入 一 个 新 行 作 为 头 名 称 的 下 一 个 部 份 呢 ？ 那 么 下 一 行 到 底 是 新 的 头 ， 还 是 我 们 可 以 控 制 的 呢 ？ 然 而 ， 经 测 试 证 明 ， 这 种 方 法 不 可 行 。 谷 歌 不 允 许 在 头 信 息 中 包 含 换 行 符 。 但 是 ， 我 又 注 意 到 一 个 地 方 ， 那 就 是 在 “ 自 定 义 头 ” 的 下 方 存 在 一 个 选 项 ： P r e p e n d   c u s t o m   s u b j e c t ， 即 为 每 封 邮 件 添 加 “ 自 定 义 主 题 ” 的 选 项 。 前 述 我 们 说 过 ， S M T P 中 并 不 包 含 ‘ s u b j e c t ’   这 一 项 ， 它 只 是 ‘ D A T A ’ 内 容 中 的 一 个 头 信 息 。 为 此 ， 来 看 看 这 个 “ 自 定 义 主 题 ” 能 否 作 为 利 用 点 。 发 送 邮 件 时 ， 打 开 代 理 工 具 ， 往 其 中 的 ‘ s u b j e c t ’ 中 插 入 新 行 ( ‘ r n ’ ) ， 抓 包 看 流 量 ： 请 求 出 去 后 ， 没 返 回 任 何 错 误 提 示 ！ 我 立 即 向 我 的 其 它 G m a i l 发 送 了 一 封 测 试 邮 件 ， 然 后 从 中 收 到 的 内 容 如 下 ： 惊 到 我 了 ！ 也 就 是 说 我 们 构 造 的 P a y l o a d 成 功 了 ， 其 中 插 入 的 P a y l o a d 字 符 ： w e r n n e w l i n e w r n n e w l i n e l l ， 被 谷 歌 邮 件 服 务 端 解 析 成 了 多 行 了 ！ 由 于 每 一 个 头 信 息 占 一 行 ， 所 以 s u b j e c t 之 后 的 P a y l o a d ： w e r n n e w l i n e w r n n e w l i n e l l 被 推 到 了 后 续 显 示 ， 成 为 了 这 里 的 邮 件 内 容 （ e m a i l   b o d y ） 。 这 就 是 一 种 典 型 的 S M T P 注 入 啊 ！ 接 下 来 ， 我 构 造 了 一 个 更 有 意 思 的 P a y l o a d ， 再 次 对 其 中 的 s u b j e c t 设 置 做 了 手 脚 ， 这 一 次 ， 我 包 含 进 行 了 邮 件 发 件 人 的
f r o m 头 信 息 ， 即 ： 再 一 次 成 功 了 ！ G m a i l 把 它 解 析 成 了 发 件 人 为 a d m i n @ g o o g l e . c o m 的 邮 件 ： 就 这 样 ， 我 可 以 伪 造 任 意 后 缀 为 @ g o o g l e . c o m 的 发 件 人 身 份 ！ 漏 洞 上 报 和 处 理 进 程 漏 洞 上 报 和 处 理 进 程 2 0 2 0 . 1 . 5   附 带 P a y l o a d 报 送 谷 歌 2 0 2 0 . 1 . 1 3   谷 歌 接 受 漏 洞 2 0 2 0 . 1 . 1 5   我 发 送 包 含 a d m i n @ g o o g l e . c o m 的 有 效 P O C 详 细 技 术 信 息 给 谷 歌 2 0 2 0 . 2 . 1 1   谷 歌 发 放 赏 金 $ 3 1 3 3 . 7 参 考 来 源 ： h t t p s : / / w w w . e h p u s . c o m / p o s t / s m t p - i n j e c t i o n - i n - g s u i t e 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理