邮箱伪造漏洞、钓鱼邮件漏洞（未添加SPF导致）

0x00 背景

0x01 细节

0x02 测试方法

0x03 漏洞利用

0x04 防御

参考文献：

0x00 背景

邮箱伪造技术，可被用来做钓鱼攻击。

即伪造管理员或者IT运维部等邮箱发邮件，获取信任使对方打开附带的木马文件或者回复想要获取的敏感资料等。

0x01 细节

SMTP协议中,允许发件人伪造绝大多数的发件人特征信息。

这就导致了可以伪造别人发送邮件。

网上还有个网站比较方便直接发送伪造邮件的：

http://emkei.cz/

0x02 测试方法

nslookup -type=txt baidu.com

存在邮箱伪造漏洞的内容：

C:\Users\Administrator>nslookup -type=txt baidu.com
服务器:  public1.114dns.com
Address:  114.114.114.114bjca.com.cnprimary name server = dns1.hichina.comresponsible mail addr = hostmaster.hichina.comserial  = 1refresh = 3600 (1 hour)retry   = 1200 (20 mins)expire  = 3600 (1 hour)default TTL = 600 (10 mins)

不存在漏洞的情况：

C:\Users\Administrator>nslookup -type=txt ***.com
服务器:  public1.114dns.com
Address:  114.114.114.114非权威应答:
baidu.com     text ="v=spf1 include:spf.capmail.cn -all"

0x03 漏洞利用

首先申请一个测试邮箱，我用的是中国移动邮箱139

利用工具 kali自带：swaks

实例：

swaks --body "test" --header "Subject:test标题" -t gesila_yuan@139.com -f "admin@baidu.com"

--body：内容
--header：标题
-t：我们的邮箱
-f：伪造的邮箱

工具更多用法自查：swaks -h

0x04 防御

为了防止邮箱伪造，就出现了SPF。

SPF(或是Sender ID)是Sender Policy Framework的缩写。

当你定义了你域名的SPF记录后，接收邮件方会根据你的SPF记录来判断连接过来的IP地址是否被包含在SPF记录里面，如果在，则认为是一封正确的邮件，否则则认为是一封伪造的邮件。现在绝大部份反垃圾邮件系统都支持SPF过滤，这种过滤一般不会有误判，除非是邮件系统管理员自己把SPF记录配置错误或遗漏.

至于domain key则是由Yahoo所提出的。必需配合软件和加密技术，比较麻烦。目前使用的也不多。 Google目前所谓的支援domainkey也只是在寄信的时候加入，免得被yahoo退信，本身并没有要求寄件者要有domainkey。

正确设置后邮件头一般显示如下：

关于SPF是否有设定的必要？一般认为有加上SPF比较好，怕万一碰到哪个收件服务器有采用SenderID机制来过滤信件的话就有用处了。

如何增加SPF记录，非常简单，在DNS里面添加TXT记录即可，可以使用下面两个SPF生成检查工具：

http://www.microsoft.com/mscorp/safety/content/technologies/senderid/wizard/default.aspx

http://old.openspf.org/wizard.html

参考文献：

邮件伪造漏洞：http://www.vuln.cn/7135
swaks 使用：https://blog.csdn.net/u013819875/article/details/80797906
swaks 使用：https://blog.csdn.net/hard_lushunming/article/details/62416698