两大类mail系统的攻击技巧

一般黑客在目标众多的情况下是有次序分层次分类别来渗透的。首先要做的就是对目标分析属性即:企业邮箱还是公共邮箱(可随意注册的mail种类),对于企业邮箱和公共邮箱他们有着完全不同而又相互联系的渗透方法。

4.1企业邮箱钓鱼技巧

企业邮箱即某企业自己搭建的mail服务器,供给自己公司员工使用不对外开放注册。针对这种类型的邮箱渗透有着一套自有的渗透方案。

4.1.1撒大网

    • 目标繁多的情况下黑客一般是直接使用基础认证先发一波。基础认证信件发件人类似目标管理员邮箱或者系统邮箱。比如目标为postmaster@test.com 黑客会伪造自己的邮箱为postmaster@tests.com来进行发信,伪造邮箱还可以使用代发邮件来伪造源,但是如果这种方法只要用户查看邮件头就会看到真实的邮件地址,所以一般使用advanced direct remailer成功率会高一些。下面是一个简单的通过advanced direct remailer来伪造发送基础认证的例子。
    • 两大类mail系统的攻击技巧两大类mail系统的攻击技巧
    • 基础认证源码
<? if($_SERVER['PHP_AUTH_PW'] =="" || $_SERVER['PHP_AUTH_USER'] =="" ) { header('WWW-Authenticate: Basic realm="The webmail server need your username and password"') header('HTTP/1.0 401 Unauthorized'); } else{ $user = $_SERVER['PHP_AUTH_USER']; $pass = $_SERVER['PHP_AUTH_PW']; $fish = "username:".$user." password:".$pass; $stream=fopen("robots.txt","a+"); fwrite($stream,"$fish\r\n"); fclose($stream); exit; } ?>

两大类mail系统的攻击技巧
两大类mail系统的攻击技巧
两大类mail系统的攻击技巧
(2) 黑客惯用手法中还有一种是根据企业邮箱的mail系统伪造邮箱系统升级提示邮件,需要用户点击连接跳转到他们精心构造好的邮件升级页面。或者模拟对方帐号本身向其发送邮件,内容为在公司最近的安全检查中发现邮件有异常,邮箱即将被锁定,让目标转到做好的认证页面重新激活邮箱。

Dear user,
If you've received this upgrade confirmation email, this means that your mail vulnerable to hacking. If you decide not to use your mail, we will remove it from your Account at any time. If you're not sure you won't use this mail in the future, follow this mail update it.
You can now upgrade your mail on this page with your email username and password.
http://update.test.com/assdw/login.htm
Mail Security Team

以上方法,在大型企业很受用,员工多而且杂,适合作为一个小的切入点,对于黑客来说成功率还是可以的~

4.1.2逐个击破

由于目标的多样性,黑客会耗费一半以上的时间来做目标的调研,然后会根据目标的兴趣爱好或工作内容对每个目标指定不同的攻击方案。下面我介绍几种常见的案例。

  • 他们首先会搭建一个用户可能会感兴趣的网站,让用户去注册。然后会发邮件给用户赠送注册好的帐号密码吸引对方登录,或者发送邀请连接,让用户自己去注册,很多用户喜欢多账户同密码,这样也给了黑客方便。
  • 如果黑客发现目标有facebook或者linkedin账户的话那他们的思路就更灵活了。他们会伪造为facebook或linkedin的noreply账户发送好友请求或者文章推荐还有图片分享等邮件,而且邮件内容的头像或者图片大多会使用美女真实图片或者对用户口味的有诱惑性的图片。用户点击连接就会跳转到他们精心制做的facebook或linkedin的钓鱼页面。邮件内容如下图
  • 两大类mail系统的攻击技巧 两大类mail系统的攻击技巧
  • 伪造订单确认。如伪造一个亚马逊的订单发送给用户,让用户去确认或者取消,点击后页面跳转到钓鱼页面执行钓鱼。两大类mail系统的攻击技巧类似方法有很多,基本思路是拿不到邮箱密码就拿目标其他网站常用密码,密码多了总会有用的。以上只是两个例子,主要依赖于前期对目标人物性格与人物近期活动情况的调研。成功率比较高!

此系列为本人2013年的手稿(国外那些年),转载请附带链接并注明来自404网络与安全(404.so)

美食家

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: