Sahte posta, SPF'yi atlayın | Sahte E-posta saldırısı nasıl simüle edilir ve SPF gönderen doğrulaması nasıl atlanır? | 2#2 |.com

Bu makalede, mevcut SPF gönderen doğrulama uygulamasını atlayacak Sahte E-posta saldırısının nasıl simüle edileceğini göstereceğiz.

Mevcut makale serisi iki makale içermektedir.
Önceki makale şu şekildedir: Düşman unsur, Sahte E-posta saldırısını nasıl yürütebilir ve mevcut SPF uygulamasını nasıl atlayabilir? | giriş | 1#2

Sorumluluk reddi beyanı

Herhangi bir şüpheye mahal vermemek adına, bu gösterimin amacı uygulanmamalıdır. , kuruluşları istismar etmek ve onlara saldırmak amacıyla herhangi bir biçimde veya şekilde.

Bu makalenin tek amacı, mevcut posta altyapınızın posta güvenlik ayarlarını doğrulamanız için bir yol sunmaktır; böylece posta altyapınızdaki mevcut güvenlik açıklarından haberdar olabilir ve bu güvenlik açığını azaltmak ve engellemek için gerekli çözümleri bulabilirsiniz. Çeşitli düşman unsurlar tarafından kullanılabilecek ve muhtemelen kullanılabilecek “delikler”.

Sahte E-posta saldırısı nasıl simüle edilir ve SPF gönderen doğrulaması nasıl atlanır | Adım adım

Gerekli düzenlemelerin uygulanması

İki ana hedefe ulaşabilmek için:

• Simüle edilmiş Sahte E-posta saldırısında başarılı olun
• SPF gönderen doğrulama kontrolünü atlayarak başarılı olun

Şu ön hazırlıkları yaptık:

1. Sahte alan adı satın alın - Sahte alan adının amacı, hedef alıcıyı temsil eden posta sunucusu tarafından uygulanacak SPF gönderen doğrulama işlemi için bir tuzak görevi görmektir.
2. Sahte alan adını barındıran DNS sunucusunda gerekli SPF kaydını yapılandırın.
3. Sahtekarlık veya Kimlik Avı saldırısı gerçekleştirmek için kullandığı posta sunucusunun IP adresi anlamına gelen gerekli bilgileri ekleyin.

Aşağıdaki ekran görüntüsünde "kukla alan adı" için oluşturulan SPF'ye (bir TXT kaydı) ilişkin bir örnek görebiliriz -thankyouforsharing.org

Görünen IP adresi, hedef alıcıya Sahte E-posta göndermek için düşman unsur tarafından kullanılan posta sunucusunun IP adresidir.

Sahte E-posta saldırısı simülasyon senaryosu karakterlerimiz

Düşman unsurun Sahte E-posta saldırısını uygulamak + SPF gönderen doğrulama kontrolünü atlamak için nasıl kullanabileceğini gösterebilmek için aşağıdaki senaryoyu kullanalım:

Düşman bir unsur - o365pilot.com adlı şirkete saldırmayı planlıyor (Spoofing\spear Phishing saldırısını gerçekleştiriyor)

• Düşman unsurun saldırmaya çalıştığı alıcı, bob@o365pilot.com e-posta adresini kullanan şirket CEO'su Bob'dur.
• Düşman unsurun kullanacağı sahte kimlik, suzan@o365pilot.com e-posta adresini kullanan şirket CFO'su Suzan'ın kimliğidir.
• Düşman unsur, o365pilot.com 'un posta altyapısının, gelen her posta için bir SPF gönderen doğrulama kontrolü uyguladığını biliyor.
• Düşman öğe, SPF gönderen doğrulama kontrolünü atlayabilmek için - thankyouforsharing.org adında sahte bir alan adı kullanır.

• Düşman unsur, iki gönderenin E-posta adresini içeren bir E-posta mesajı kullanacaktır:

  • evil@thankyouforsharing.org
  • suzan@o365pilot.com

Sahte E-posta saldırısını gerçekleştirmek için SMTP Telnet oturumunu kullanma

Bir sonraki bölümde, saldırıyı gerçekleştirmek için SMTP telnet oturumunu kullandığımız Sahte E-posta saldırısı simülasyonunun nasıl çalıştırılacağını inceleyeceğiz.

Kullandığımız telnet istemcisi

Teknik olarak yerleşik Windows telnet istemcisini kullanabiliriz, ancak bu telnet istemcisi biraz sınırlıdır ve o kadar da manastır değildir.

Şahsen ben özel bir telnet uygulamasıyla çalışmak isterim. Çeşitli ücretsiz telnet istemcileri vardır. Özel senaryomuzda - conemu adında çok hoş bir telnet istemcisi kullanıyorum

SMTP telnet oturumunun iki bölümü

SMTP telnet oturumunun "iki bölümünü" vurgulamak benim için önemli:

• İlk bölüm (A),
  Posta zarfı ile ilgili SMTP komutlarını dava ettiğimiz bölümdür. parça.
• İlk bölüm (B),
  Posta başlığı ile ilgili SMTP komutlarını dava ettiğimiz bölümdür. .

SMTP telnet oturumunda kullandığımız iki kimlik kümesi

SPF gönderen kontrolünü atlayabilmek için iki kimlik kümesi kullanacağız:

• Sahte E-posta adresi kimliği - evil@thankyouforsharing.org (ait olduğu E-posta adresi) Posta zarfına).
• Sahte E-posta adresi -bob@o365pilot.com (Posta başlığına ait olan E-posta adresi).

Aşağıdaki ekran görüntüsünde Spoof E-mail saldırısını simüle eden “SMTP telnet oturumunun tamamını” görebiliriz:

• İlk bölümün amacı, hedef posta sunucusunu kendimizi meşru bir kuruluş olarak sunmamıza yardımcı olacak "yararsız" bilgilerle "işgal etmektir".
• İkinci bölümün amacı sahte göndericiye ait bilgilerin yer aldığı Sahte E-postanın gönderilmesidir.

Aşağıdaki bölümde kullandığımız SMTP telnet komutlarının “adım adım” açıklamasını sunacağız:

0. Hedef posta sunucusunun adreslenmesi

Hedef posta sunucusuyla iletişim kurmak için SMTP telnet oturumunu kullanma

“Hedef posta sunucusu” anlamına gelen, saldırmak istediğimiz etki alanını temsil eden posta sunucusunu adresleyebilmek için (Örneğimizde o365pilot.com), hedef posta sunucusunun ana bilgisayar adını veya IP adresini (belirli alan adı için MX kaydında görünen ana bilgisayar adı) bilmemiz gerekir.

Başka bir posta sunucusuyla SMTP oturumu başlatmak için kullandığımız telnet komutları şunlardır:

Telnet <Mail server Hostname \ IP address> 25

1. SMTP oturumunu başlatın

Kullandığımız ilk komut, uzak posta sunucusuyla oturumu başlatmak için kullandığımız HELO komutudur.

Teknik açıdan konuşursak, HELO komutunun dışında herhangi bir ek bilgi sağlamamıza gerek yok, ancak senaryomuzda asıl amacımız kendimizi alan adını temsil eden meşru bir posta sunucusu olarak sunmak - thankyouforsharing.org

Bu nedenle helo komutundan sonra alan adını belirteceğiz.

Kullandığımız komut sözdizimi

helo thankyouforsharing.org

2. Gönderenin kimliğini sağlayın

Bu bölümde gönderenin kimliğini (gönderenin E-posta adresi)
komutunu kullanarak sağlıyoruz: POSTA FORM

Kullandığımız komut sözdizimi

mail from: evil@thankyouforsharing.org

3. Alıcının kimliğini sağlayın

Bu bölümde alıcının kimliğini (gönderenin E-posta adresi) şu komutu kullanarak sağlıyoruz: RCPT TO:

Senaryomuzda hedef alıcı Bob'a Sahte E-posta göndermek istiyoruz

Kullandığımız komut sözdizimi

rcpt to: bob@o365pilot.com

Bu aşamada Posta zarfı aşamasını "tamamladık".

Teknik açıdan konuşursak, E-postayı hedef alıcıya gönderebilmek için ek "kimlik bilgisi" sağlamamıza gerek yok.

Bu aşamanın amacı Posta başlığı kısmının "oluşturulması" için gerekli bilgilerin sağlanmasıdır. Anlamı, gönderen ve alıcının kimlikleri + hedef alıcıya gönderilen E-posta mesajında görünecek bilgilerdir.

Kısa bir hatırlatma: Posta başlığı aşamasında, gönderenin kimliğini belirtmek için FROM komutunu ve TO hedef alıcı kimliğini belirterek.

4. Posta başlığı bölümünü başlatma

Posta başlığı aşamasını başlatmak istediğimiz hedef posta sunucusuna "sinyal gönderebilmek" için şu komutu kullanırız:

data

5. Gönderenin sahte kimliğinin sağlanması

Bu adımda, şirketin CFO'su Suzan'ın "görünüşe göre kimliğini" sağlıyoruz.

Sahte kimlik'in hedef alıcının gözünde güvenilir ve güvenilir bir kimlik gibi görünmesini sağlamak için iki ayrı bölüm sunacağız: “Susan'ın kimliği” -

Suzan Görünen ad + Suzan E-posta adresi

• Sahte gönderenin görünen adı, tırnak işaretleri arasında görünen dizedir.
• Gönderenin sahte E-posta adresi köşeli parantezler arasındaki E-posta adresidir.

Kullandığımız komut sözdizimi şöyledir:

from: "Suzan the CFO" <Suzan@o365pilot.com>

6. Hedef alıcının kimliğinin sağlanması

Teknik olarak, hedef alıcının E-posta adresinin sağlanmasına gerek yoktur. E-posta adresini vermemizin nedeni, telnet oturumunu kullanırken TO alanı boşsa, ilgili bilgilerin alıcı - “Açıklanmayan alıcılar” olarak görüntülendi

Kullandığımız komut sözdizimi şöyledir:

to: bob@o365pilot.com

Bu aşamada E-posta mesajı konusunu + mail içeriğini tanımlayacağız.

7. E-posta mesajı konusunun sağlanması

Konu + göndermek istediğimiz metni içerecek E-posta içerik mesajını tanımlayabilmek için konu: komutunu + gerekli metni kullanıyoruz.

Özel senaryomuzda konu komutunu + aşağıdaki metni kullanacağız

subject: Hello Bob, an important message,

8. Posta gövdesinde konu arasına boşluk ekleyin

E-posta mesajında görünecek gerekli mail metnini ekleyebilmek için konu komutu ile ekleyeceğimiz metin arasına boşluk koymamız gerekmektedir.

Gerekli alanı oluşturmak için ENTER tuşunu kullanın.

9. E-posta mesaj metninin sağlanması

Özel senaryomuzda aşağıdaki metin dizesini ekleyeceğiz

Please transfer to the following bank account - 4589865, the amount of million dollars ASAP!

10. SMTP oturumunun posta sunucusuyla “sonlandırılması”

SMTP oturumunu “sonlandırmak” için nokta karakterini kullanırız.

Nokta kullanın .

Sahte E-posta saldırımızın sonucu

Aşağıdaki ekran görüntüsünde,
hedef alıcımız olan Bob'a gönderilen Sahte E-postayı görebiliriz. E-posta iletisinin yasal bir E-posta iletisine benzediğine dikkat edin.

Belirli bir E-posta mesajının "standart bir E-posta mesajı" (bizim senaryomuzda Sahte E-posta) olmadığını yalnızca "ipucu yapmak", Outlook istemcisinin gönderenin kimliği hakkındaki bilgileri görüntülemek için kullandığı yoldur.

E-posta mesajının “üst kısmına” derinlemesine baktığımızda, gönderene ait bilgilerin göndere ait e-posta mesajını< içerdiğini fark edebiliriz. /açıklık>.

Bu davranış meşru bir alıcının “normal davranışı” olarak değerlendirilmez.

Aşağıdaki ekran görüntüsünde “gerçek kullanıcı”dan gönderilen bir E-posta örneğini görebiliriz. E-posta meşru bir E-posta iletisi olduğunda, Outlook veya OWA gibi posta istemcisi yalnızca gönderenin görünen adını görüntüler.

Outlook'un, E-posta iletisinin "standart kuruluş alıcısı" tarafından gönderildiğini nasıl "fark ettiğini" merak ediyorsanız, bunun yanıtı şudur: Telnet oturumunu kullandığımızda, sahte E-posta adresini sağlıyoruz ancak bunu yapmıyoruz' Herhangi bir kullanıcı kimlik bilgisi sağlamayın.

Bu nedenle alıcı Anonim olarak tanımlanır (bilgiler - X-MS-Exchange-Organization-AuthAs adlı bir posta alanına kaydedilir) ).

Outlook veya OWA posta istemcisi, gönderenin Anonim olarak değerlendirdiği bir senaryo tespit ettiğinde, gönderen hakkındaki bilgiler kaynak gönderenin E-posta adresini içerecektir.

Sahte E-postadaki bilgilerin e-posta analizörü kullanılarak analiz edilmesi

Bir sonraki bölümde Bob'a gönderilen Sahte E-postanın Mail başlığına kaydedilen bilgileri analiz etmek için kullanabileceğimiz yöntemi inceleyeceğiz.

Mail başlığına kaydedilen “kanıtı” incelediğimiz süreç, geçmişte meydana gelen olaylar hakkında sonuç çıkarmak için mevcut kanıtları kullandığımız bir adli sürecin tersine mühendislik süreci olarak değerlendirilebilir.

Mail başlığına kaydedilen bilgiler, Spoof
E-posta saldırı simülasyonunun işlenmesi sırasında meydana gelen olayları daha iyi anlamak için kullanabileceğimiz birçok önemli ayrıntı ve “ipucu” içerir.

Teknik olarak E-posta mesajı başlığındaki bilgileri not defteri gibi basit bir metin düzenleyici kullanarak analiz edebiliriz ancak en çok tercih edilen seçenek posta analizörü kullanmaktır.

Özel örneğimizde, posta başlığına kaydedilen bilgileri analiz etmek için Microsoft web aracı ExRCA'yı (Exchange uzaktan bağlantı analizörü) kullanacağız.

E-posta mesajından posta başlığı bilgileri nasıl “çıkarılır”?

Bunun E-posta mesajında (alıcıya Bob gönderilen Sahte E-posta) "saklanan" bilgisini alırlar, özel E-posta mesajını seçmemiz gerekir, Dosya menüsü
ve ardından seçenek - Özellikler.

• - İnternet başlığında görünen bilgileri seçin
• Bilgileri kopyalayın (KOPYALA + C tuş kombinasyonunu kullanabiliriz).

ExRCA (Exchange uzaktan bağlantı analizörü) web sitesine aşağıdaki URL adresini kullanarak erişeceğiz: https://testconnectivity.microsoft.com/

• Sekmeyi seçin - Mesaj Analizcisi
• Boş metin kutusuna, önceki adımda kopyaladığınız bilgileri yapıştırın (KOPYALA + V tuş kombinasyonunu kullanabiliriz. ).
• Başlıkları analiz et düğmesini tıklayın

Ekranın üst kısmında gönderenin ve alıcının kimliğine ilişkin bilgileri görebiliriz.

Özet bölümünde (A) dikkat ederseniz bu “kimliklere” ilişkin bilgiler, “Mail Header aşaması” olarak tanımladığımız telnet oturumunun ikinci aşamasında vermiş olduğumuz bilgilerdir.

Bahsedildiği gibi, posta sunucusu, Posta zarfını kaldırır; bu zarf, gönderenin kimliğiyle ilgili bilgileri içeren ve POSTA FORMU alanı.

Özel senaryomuzda, POSTA FORM alanında kullandığımız E-posta adresi şuydu: - evil@thankyouforsharing.org.

Bu E-posta adresiyle ilgili bilgiler, posta başlığında kaldırılmıştır ve TO posta alanı.

Görüntülenen “gönderen bilgisi”, hedef alıcının (Bob) gördüğü bilgidir. Başka bir deyişle, Bob açısından bakıldığında, E-posta adresi şirketin CFO'su Suzan tarafından gönderilmiştir.

Alınan başlık bölümünde (B), posta akışına dahil olan posta sunucusuyla ilgili bilgileri görebiliriz.

Posta sunucularının her biri hakkındaki bilgiler, posta sunucusunun IP adresini ve posta sunucusunun kendi "adını" sağlaması durumunda ("ad" terimi ana bilgisayar adına, FQDN'nin alan adına çevrilebilir) içerir.

Özel senaryomuzda, Sahte E-posta saldırısını simüle etmek için kullandığımız posta sunucusu onun adını sağlar: thankyouforsharing.org

Posta sunucusu ana bilgisayar adı hakkındaki bilgiler, SMTP telnet oturumunda, HELO komut.

Kimlik Avı Güven Düzeyi

PCL'nin (Kimlik Avı Güven Düzeyi) değeri - 0'dır.
Bunun anlamı, E-posta mesajının kimlik avı veya sahte E-posta olarak tanınmamasıdır.

Kimlik Doğrulama Sonuçları

- Kimlik Doğrulama Sonuçları adlı bölümde aşağıdaki bilgileri görebiliriz:

spf=pass (gönderenin IP'si 212.25.80.239) smtp.mailfrom=thankyouforsharing.org

Bu bilginin anlamı, SPF gönderen doğrulama testini gerçekleştiren hedef posta sunucusu açısından kontrolün başarıyla tamamlandığıdır (spf=pass).

Size hatırlatmak isterim ki, bu "Sahte E-posta saldırıları simülasyonu"ndaki temel hedeflerimizden biri, mevcut SPF koruma uygulamasını atlatabileceğimizi kanıtlamaktı.

Posta sunucusu (saldırmak istediğimiz alıcıyı barındıran posta sunucusu), POSTA'da görünen E-posta adresini kontrol ettiğini bize "bilgilendirir". Senaryomuzdaki FORM alanı - evil@thankyouforsharing.org

(smtp.mailfrom=thankyouforsharing.org)

SPF gönderen kontrolünü kullanırken doğrulamanın "alan adı" ile ilgili olduğunu ve "delik E-posta adresi" için değil olduğunu unutmayın.

Alındı-SPF

Alınan-SPF adlı bölümde ek bir bilgi görebiliriz:

Hedef posta sunucusunun (Bob'u barındıran posta sunucusu) bize thankyouforsharing.org alan adını temsil eden posta sunucusunun, düşünün meşru bir posta sunucusudur - thankyouforsharing.org, izin verilen gönderen olarak 212.25.80.239'u belirler.

Pass (protection.outlook.com: Thankyouforsharing.org etki alanı, izin verilen gönderen olarak 212.25.80.239'u belirler) alıcı=protection.outlook.com; istemci-ip=212.25.80.239; helo=teşekkür ederimforsharing.org;

Daha önce öğrendiğimiz gibi, hedef posta sunucusu, E-posta mesajını kabul etmek için gereken prosedürü tamamladıktan sonra Posta zarfını kaldırır. .

Yani teorik olarak Posta zarfında (MAIL FROM alanı) adı geçen gönderen hakkında hiçbir bilgi yoktur.

Bu varsayım, bir istisna dışında doğrudur: RETURN-PATH alanı.

SMTP standart tanımı, hedef posta sunucusunun sorumluluğunun POSTA FORMU alanına gidin ve bu E-posta adresini RETURN-PATH alanına kopyalayın.

Hedef posta sunucusu Posta zarfında görünen bilgileri "siler", ancak hedef posta sunucusunun bunu yapmadan önce yaptığı bir şey vardır. Posta zarfını kaldırır: POSTA FORM alanında görünen bilgileri şu adla ek bir posta alanına kopyalayın: DÖNÜŞ YOLU.

Bu posta alanının amacı,
E-posta mesajının hedef alıcıya gönderilememesi durumunda kullanılacak E-posta adresini tutmaktır.

Hedef posta sunucusunun "kaynak gönderene" bir sorun hakkında bildirimde bulunması gerekmesi durumunda, NDR mesajı bu E-posta adresine (DÖNÜŞ YOLU).

Senaryomuzda, posta zarfında görünen E-posta adresi ("sahte E-posta adresi") evil@thankyouforsharing.org< idi.

Hedef posta sunucusu bu E-posta adresini kopyaladı ve bunun sonucunda bu E-posta iletisi RETURN-PATH alanını doldurdu. .

Başka bir deyişle, düşman unsurun uyguladığı “hileye” ilişkin elimizdeki tek “kanıt”, RETURN-PATH'de saklanan bilgilerdir. alanı.

X-MS-Exchange-Organization-AuthAs - kimlik doğrulama ve kimliği doğrulanmamış gönderen

İncelemek istediğim son detay, kaynak göndereni “alıcıyı tanıyan” veya anonim gönderen olarak sınıflandırdığımız kısımdır.

Senaryomuzda, düşman unsur, kendisini suzan@o365pilot.com olarak sunarak meşru bir kuruluş kullanıcısının kimliğini taklit ediyor

SPF gönderen doğrulama mekanizmasını "atlatmayı" ve E-posta mesajını hedef alıcının posta kutusuna göndermeyi başarmamıza rağmen, gönderen kullanıcı kimlik bilgilerini sağlamadı.

Bu nedenle gönderen Anonim olarak sınıflandırılmıştır.

Bu "gözlem" hakkındaki bu bilgi, "SPF duvarımızı" aşmayı başaran E-posta iletisini tanımlamamıza ve tespit etmemize yardımcı olabilir.