搜索

[302] 2019-07-01_IMAPSMTP注入

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-16
2019-07-01_IMAPSMTP注入 I M A P / S M T P   注 入 发 哥 微 课 堂   a F a 攻 防 实 验 室   2 0 1 9 - 0 7 - 0 1 0 x 0 0 ： ： 介 绍 介 绍 I M A P   就 是   I n t e r n e t   M a i l   A c c e s s   P r o t o c o l   的 缩 写 翻 译 来 就 是 邮 件 访 问 协 议 ， 也 就 是 用 来 收 邮 件 的 （ 和 它 类 似 的 还 有 个   P O P 3 ， 也 是 用 来 收 邮 件 的 ） 。 S M T P   就 是   S i m p l e   M a i l   T r a n s f e r   P r o t o c o l   的 缩 写 翻 译 来 就 是 邮 件 传 输 协 议 ， 也 就 是 用 来 发 邮 件 的 。 I M A P / S M T P   注 入 也 就 是 收 邮 件 发 邮 件 的 注 入 ， 有 很 多 类 似 于 这 样 的 功 能 ， 例 如 要 发 消 息 给 某 个 用 户 组 或 者 某 个 用 户 ， 程 序 会 提 供 一 个 发 邮 件 的 方 式 ， 输 入 名 称 、 邮 件 地 址 、 邮 件 内 容 即 可 。 或 者 是 一 些 重 要 的 邮 件 通 知 功 能 找 回 密 码 登 录 等 ， 要 用 户 填 入 信 息 进 行 验 证 发 送 邮 件 给 自 己 。 而 注 入 就 是 未 对 用 户 输 入 的 地 址 做 严 格 的 过 滤 和 限 制 ， 导 致 可 以 加 入 一 些 其 他 的 邮 件 头 ， 例 如   C C   抄 送 等 。 0 x 0 1 ： ： 邮 件 头 邮 件 头 基 本 所 有 的 邮 件 都 支 持 原 文 查 看 ， 类 似 于 网 页 查 看 源 代 码 ， 比 如   q q   邮 箱 点 击 显 示 原 文 来 查 看 邮 件 的 原 始 内 容 ， 即 带 标 题 头 的 内 容 。
以 下 是 常 见 的 标 题 头 字 段 说 明 。 r e t u r n - p a t h ： 邮 件 的 回 复 地 址 。 f r o m ： 发 件 人 地 址 。 t o ： 收 件 人 地 址 。 s u b j e c t ： 邮 件 主 题 ， 即 邮 件 名 。 b o d y ： 邮 件 内 容 。 d a t e ： 邮 件 发 送 日 期 。 c c ： 抄 送 。 b c c ： 密 送 。 而 我 们 程 序 中 发 送 邮 件 时 则 需 要 按 这 种 模 式 来 发 送 邮 件 。 0 x 0 2 ： ： 示 例 示 例 拿   b w a p p   的   m a i l   注 入 来 做 示 例 ， 这 里 因 为   b w a p p   发 送 邮 件 使 用 的 是   m a i l   函 数 ， 它 不 支 持   s m t p   的 身 份 验 证 功 能 ， 所 以 不 方 便 发 邮 件 ， 我 们 这 里 只 分 析 它 的 原 理 和 利 用 方 法 ， 大 家 如 果 感 兴 趣 下 去 可 以 使 用 一 些   p h p   库 完 善 此 功 能 ， 例 如   p e a r m a i l ， p h p m a i l e r   等 ， 这 里 需 要 注 意 的 是 ， 公 开 完 善 的 库 是 有 防 御 邮 件 头 注 入 攻 击 机 制 的 。 以 上 是 填 入 名 称 邮 箱 地 址 和 内 容 后 发 送 的 数 据 包 截 图 ， 我 们 先 看 下 代 码 的 实 现 。
代 码 首 先 会 检 查 邮 箱 的 格 式 是 否 正 确 ， 当 难 度 等 级 设 置 的 低 时 ， 也 就 是 不 为   2 ， e m a i l   会 直 接 接 收 传 来 的   e m a i l   值 ， 难 度 不 是 低 时 会 进 行 检 测 邮 箱 格 式 是 否 合 格 ， 这 时 邮 箱 字 段 注 入 一 些   c c 、 b c c   字 段 就 会 失 败 ， 检 测 邮 箱 函 数 如 下 。 函 数 使 用 了   p h p   自 带 的   f i l t e r _ v a r   函 数 进 行 了 变 量 的 过 滤 ， 过 滤 规 则 是   p h p   自 带 的   F I L T E R _ V A L I D A T E _ E M A I L ， 也 就 是 过 滤 验 证 邮 箱 。 我 们 继 续 看 上 面 发 邮 件 的 核 心 代 码 ， 低 级 难 度 直 接 拼 接 邮 箱 后 ， 进 行 了 内 容 的 组 合 赋 值 给 了   c o n t e n t   变 量 ， 然 后 使 用 了   m a i l   函 数 发 送 ， 代 码 中   m a i l   函 数 的 最 后 一 个 变 量 是   F r o m : $ e m a i l 。 如 下 。 i f ( i s s e t ( $ _ P O S T [ " f o r m " ] ) ) {         i f ( ! e m a i l _ c h e c k _ 2 ( $ _ P O S T [ " e m a i l " ] )   & &   ( $ _ C O O K I E [ " s e c u r i t y _ l e v e l " ]   = =   " 1 "   | |   $ _ C O O K I E [ " s e c u r i t y _ l e v e l "                 $ m e s s a g e   =   " < f o n t   c o l o r = " r e d " > E n t e r   a   v a l i d   e - m a i l   a d d r e s s ! < / f o n t > " ;         } e l s e {                 i f ( $ s m t p _ s e r v e r   ! =   " " ) {                         i n i _ s e t (   " S M T P " ,   $ s m t p _ s e r v e r ) ;                 }                 i f ( $ _ C O O K I E [ " s e c u r i t y _ l e v e l " ]   = =   " 2 " ) {                         $ e m a i l   =   m a i l i _ c h e c k _ 2 ( $ _ P O S T [ " e m a i l " ] ) ;                 } e l s e {                         $ e m a i l   =   $ _ P O S T [ " e m a i l " ] ;                 }                 $ c o n t e n t   =     " C o n t e n t : n n " ;                 $ c o n t e n t   . =   " N a m e :   "   .   $ _ P O S T [ " n a m e " ]   .   " n " ;                 $ c o n t e n t   . =   " E - m a i l :   "   .   $ e m a i l   .   " n " ;                 $ c o n t e n t   . =   " R e m a r k s :   n " ;                 $ c o n t e n t   . =   $ _ P O S T [ " r e m a r k s " ]   .   " n n " ;                 $ c o n t e n t   . =   " G r e e t s   f r o m   b W A P P ! " ;                 $ s t a t u s   =   @ m a i l ( $ r e c i p i e n t ,   $ s u b j e c t ,   $ c o n t e n t ,   " F r o m :   $ e m a i l " ) ;                 i f ( $ s t a t u s   ! =   t r u e ) {                         $ m e s s a g e   =   " < f o n t   c o l o r = " r e d " > A n   e - m a i l   c o u l d   n o t   b e   s e n t . . . < / f o n t > " ;                 } e l s e {                         $ m e s s a g e   =   " < f o n t   c o l o r = " g r e e n " > Y o u r   m e s s a g e   h a s   b e e n   s e n t   t o   o u r   m a s t e r   b e e ! < / f o n t > " ;                 }         } } f u n c t i o n   e m a i l _ c h e c k _ 2 ( $ d a t a ) {         r e t u r n   f i l t e r _ v a r ( $ d a t a ,   F I L T E R _ V A L I D A T E _ E M A I L ) ;   }
m a i l   函 数   5   个 参 数 说 明 分 别 是 规 定 邮 件 的 接 收 者 ， 邮 件 的 主 题 ， 发 送 的 内 容 ， 额 外 的 报 头 。 这 里 的 额 外 包 头 用 来 规 定 一 些 例 如   f o r m 、 c c 、 b c c   等 内 容 ， 也 就 是 发 送 人 ， 抄 送 ， 密 送 这 些 。 也 就 是 上 文 的   e m a i l   变 量 ， 当 程 序 接 收 时 没 有 进 行 严 格 过 滤 ， 我 们 就 可 以 添 加 一 些   c c 、 b c c   等 来 截 获 邮 件 等 。 通 过 以 上 代 码 可 以 看 出   n a m e   和   e m a i l   都 是 没 有 进 行 过 滤 的 ， 也 就 是 我 们 修 改 哪 一 个 都 可 以 ， 比 如 这 里 抓 包 修 改 了   e m a i l   的 值 ， 由 原 来 的   t e s t @ t e s t . c o m   改 成 了   t e s t @ t e s t . c o m n b c c : h a c k @ h a c k . c o m ,   那 这 个 邮 件 就 会 顺 便 密 送 给   h a c k   这 个 邮 箱 。 0 x 0 3 ： ： 测 试 及 修 复 测 试 及 修 复 邮 件 注 入 可 以 关 注 一 些 发 送 邮 件 的 功 能 ， 有 些 找 回 密 码 等 也 会 这 么 设 计 ， 可 以 添 加 一 些 类 似   c c 、 b c c   等 字 段 来 测 试 ， 白 盒 审 计 关 注 一 下 内 容 来 源 是 否 可 控 ， 是 否 有 函 数 过 滤 规 则 等 机 制 。 对 于 防 御 建 议 发 邮 件 等 信 息 在 后 台 操 作 ， 用 户 是 黑 箱 操 作 ， 同 时 建 议 有 过 滤 器 或 者 是 邮 箱 是 否 合 法 的 验 证 机 制 ， 这 里 注 意 的 是 验 证 机 制 不 要 只 加 在 前 端 。 或 者 使 用 一 些 公 开 的 库 、 框 架 来 操 作 ， 关 键 字 建 议 过 滤 换 行 符 、 b c c 、 c c 、 f r o m   等 。 0 x 0 4 ： ： 总 结 总 结 邮 件 注 入 其 实 和 其 他 的 注 入 原 理 基 本 一 样 ， 都 是 因 为 前 端 用 户 数 据 可 控 ， 且 后 端 没 有 相 应 的 过 滤 规 则 和 机 制 而 造 成 的 问 题 。 欢 迎 将 文 章 分 享 到 朋 友 圈   如 果 想 g e t 更 多 的 技 能 ， 长 按 二 维 码 可 关 注 我 $ s t a t u s   =   @ m a i l ( $ r e c i p i e n t ,   $ s u b j e c t ,   $ c o n t e n t ,   " F r o m :   $ e m a i l " ) ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理