伪造邮件***，社工钓鱼，你中招了吗【一】

引用wooyun上瞌睡龙对它的定义就是，邮箱伪造技术可被用来做钓鱼***。即伪造管理员或者IT运维部等邮箱发邮件，获取信任使对方打开附带的***文件或者回复想要获取的敏感资料等。

在网民安全意识进一步提高的情况下，URL钓鱼成功率开始降低，而在背后，邮件伪造***钓鱼却越发的流行起来，这个主题计划分2次写完，这个当然是1了。

一，伪造邮件***原理分析

首先，我们来回顾一下SMTP的概要。SMTP（Simple Mail Transfer Protocol）协议，即简单邮件传输协议，是定义邮件传输的协议，它是基于TCP服务的应用层协议，SMTP协议是由一组用于由源地址到目的地址传送邮件的规则，由它来控制邮件的中转方式，它可以帮助计算机在发送或中转邮件时找到下一个目的地。通过SMTP协议所指定的服务器就可以把邮件发送到收件人的服务器上。

通过分析SMTP协议工作过程中的主要过程我们了解到，发件人的信息、邮件正文信息均是在发送过程中人为可控的数据，这正是伪造的源头。

二，防御措施

为了防止邮箱伪造，就出现了SPF。SPF(或是Sender ID)是Sender Policy Framework的缩写。

当你定义了你域名的SPF记录后，接收邮件方会根据你的SPF记录来判断连接过来的IP地址是否被包含在SPF记录里面，如果在，则认为是一封正确的邮件，否则则认为是一封伪造的邮件。现在绝大部份反垃圾邮件系统都支持SPF过滤，这种过滤一般不会有误判，除非是邮件系统管理员自己把SPF记录配置错误或遗漏。

三，初级伪造方法

在SMTP协议中,允许发件人伪造绝大多数的发件人特征信息。这就导致了可以伪造别人发送邮件。利用邮件服务器过滤不严可能导致伪造的邮件被正常接收，导致用户利益的损失。

初级手法就是利用现成的软件或web服务发送，有经验的用户可以轻易识破。

经测试发现该邮件在QQ邮箱会被识别为垃圾邮件并拦截，而在126邮箱却成功接收，所以126邮箱尽管做了SPF，可能由于某些原因产生了漏洞。

查看信头发现伪造的邮件所用服务器ip暴露。但是普通用户很难识别。

下面用软件发送伪造的邮件。

分析发现这个软件只是把邮件提交到web服务器做了转发，和前一种大同小异。

未完待续，高级伪造方法下回分晓~

转载于:https://blog.51cto.com/zerosecurity/1631207

伪造邮件***，社工钓鱼，你中招了吗【一】相关推荐

利用xss漏洞结合xss平台实现社工钓鱼
本文主要介绍如何结合 xss平台利用xss漏洞然后,伪造一个钓鱼登陆页,然后,实现钓鱼,获取用户和密码,之后传到我们的公网服务器中首先我们需要一个存在xss漏洞的网站,不管是反射或存储,只要它 ...
社会工程学与APT攻击之——社工邮件钓鱼分析
社工邮件钓鱼分析在大型企业边界安全做的越来越好的情况下,不管是APT攻击还是红蓝对抗演练,钓鱼和水坑攻击被越来越多的应用.(水坑攻击感觉也很牛掰的样子) 说起钓鱼,突然想起来小薛同学在大一收到一个钓 ...
伪造邮件钓鱼，要知道的秘密！
微信搜索逆锋起笔关注后回复编程pdf 领取编程大佬们所推荐的 23 种编程资料! 邮件钓鱼入门到入土在大型企业边界安全做的越来越好的情况下,不管是 APT 攻击还是红蓝对抗演练,钓鱼和水坑攻击被越来 ...
ChatGPT在社工攻击和反钓鱼中的应用
概述 ChatGPT是一种基于神经网络的自然语言处理模型,可以生成自然流畅的文本或对话.在钓鱼攻击中,攻击者可以使用ChatGPT生成虚假电子邮件或消息,更好地伪装成受害者所信任的个人或组织,从而获取 ...
程序员伪造邮件钓鱼，从入门到入土！
邮件钓鱼入门到入土在大型企业边界安全做的越来越好的情况下,不管是 APT 攻击还是红蓝对抗演练,钓鱼和水坑攻击被越来越多的应用. 一.邮件安全的三大协议 1.1 SPF SPF 是 Sender P ...
社工利器--setoolkit之钓鱼攻击
该文章仅供参考学习,切勿用于非法用途简介社会工程学(Social Engineering)认为人为因素才是安全的软肋.很多企业.公司在信息安全上投入大量的资金,最终导致数据泄露的原因,往往却是发生 ...
社会工程学与APT攻击之——社工防御方法
社工防御方法今天学习的没什么特别的,主要是一些安全意识吧,现在我见着二维码都不敢乱扫,网站不是用https我都不进,群里发的工具链接不敢点还学了六七种APT挂马小工具的使用,就不发出来了哈,怕CS ...
如何防御黑客的社工？
首先,这里基于社会工程学的攻击该怎么理解?这将是一个讨论的前提. ---------------------- 我想利用社工进行的攻击就是基于对人性的分析理解而展开的攻击,而不再是基于对机器对编码的理 ...
渗透测试与攻防对抗-信息收集与社工技巧
文章目录信息收集与社工技巧 1.信息收集总览 2.信息收集-DNS 3.信息收集-子域名收集 4.信息收集-C段扫描 5.信息收集-Web目录扫描 6.信息收集-指纹识别 7.Google Hack ...
【安全科普】今天你被社工了吗？
什么是社工? 社会工程学,一种针对受害者的心理弱点,设下陷阱进行欺骗,进而获取自身利益的手法. 中译中就是:骗术,利用人性的弱点,来忽悠你.欺骗你.获取你的隐私信息和个人财产.很多时候,将一个用户名. ...

伪造邮件***，社工钓鱼，你中招了吗【一】

伪造邮件***，社工钓鱼，你中招了吗【一】相关推荐

最新文章

热门文章