SMTP 邮件伪造发送钓鱼邮件

不算是什么新东西，主要目的是记录。

申请临时邮箱

搜索引擎搜索临时邮箱网址：

• • https://temp-mail.org/

swaks 伪造邮件

swaks --to [email protected] --from [email protected] --ehlo hello.com --body "123456"

成功收到邮件，发件人是 [email protected]

swaks 给邮件添加附件

swaks --to [email protected] --from [email protected] --ehlo hello.com --body "123456" --attach test.txt

结果：

swaks基本使用

--to [email protected] //测试邮箱的连通性；--from [email protected] //发件人邮箱；--ehlo qq.com //伪造邮件ehlo头，即是发件人邮箱的域名；--body "hello" //邮件正文；--header "Subject:hello" //邮件头信息，subject为邮件标题。--data    email.eml //将正常源邮件的内容保存成eml文件，再作为正常邮件发送；

配置SPF记录防止邮件伪造

可以使用 nslookup或者dig，但对于已发布多个TXT记录的域， nslookup 无法列出SPF记录。在这种情况下， dig 必须改用。

nslookup cisco.com txtdig cisco.com txt

检查一个邮箱是否存在 SPF，以qq距举例

dig qq.com txt

v=spf1 include:spf.mail.qq.com -all 是一条 SPF（Sender Policy Framework，发件人策略框架）记录，下面来详细解释其含义：

各部分解释

• • v=spf1：这部分表明该记录属于 SPF 记录，并且使用的是 SPF 协议的第 1 版。当前，SPF 协议的主要版本就是第 1 版。
• • include:spf.mail.qq.com：include 是 SPF 记录中的一个机制，其作用是引用其他域名的 SPF 记录。在这个例子里，spf.mail.qq.com 是腾讯邮箱的 SPF 记录所在域名。借助 include 机制，当前域名的 SPF 验证会包含腾讯邮箱域名所定义的所有授权发送邮件的服务器。也就是说，凡是被 spf.mail.qq.com 这个域名的 SPF 记录授权的服务器，都可以代表当前域名来发送邮件。
• • -all：- 是一个修饰符，all 代表所有其他情况。-all 意味着除了前面通过 include 机制引用的 spf.mail.qq.com 所授权的服务器之外，其他任何服务器发送的以当前域名为发件人的邮件都被判定为不合法。接收邮件的服务器可能会拒收这些邮件，或者将其标记为垃圾邮件。

示例场景

假设你的域名是 example.com，并在其 DNS 记录中设置了这条 SPF 记录。当接收邮件的服务器收到一封发件人地址为 [email protected] 的邮件时，它会先检查发送邮件的服务器是否被 spf.mail.qq.com 的 SPF 记录授权。若授权了，就认为邮件合法；若未授权，就会根据自身策略处理这封邮件，如拒收或者放入垃圾邮件文件夹。

SPF 绕过，伪造邮件

这个方式可以参考，在常见的163，qq邮箱基本上不存在了。但在企业自己搭建的邮箱，或许会出现。

可以参考：

• • 邮件伪造之SPF绕过的5种思路 https://www.cnblogs.com/xiaozi/p/12906040.html
• • Swaks+163邮箱邮件伪造 https://mp.weixin.qq.com/s/W_wWrIYMcGe-mX58J5bLlg
• • 钓鱼工具Swaks https://mp.weixin.qq.com/s/mRmVuRjkuxx7YvU0wtX-Og

163邮箱 开启pop3服务

关于QQ邮箱导出的 eml 文件的一个小技巧

https://jpliu.github.io/qqmailemlpic.html

钓鱼演练

• • 可以尝试注册一个和企业相似的域名，然后搭建一个邮件服务器，给企业员工发送邮件。
• • 如果企业的邮箱系统放在公网，可以尝试撞库，拿到员工邮箱。

参考资料

• • 从一份表白邮件到获取键盘记录 https://mp.weixin.qq.com/s/-cRyP2eQgNnGehgfhqCxkw
• • 钓鱼工具Swaks https://mp.weixin.qq.com/s/mRmVuRjkuxx7YvU0wtX-Og
• • 数智课堂：钓鱼邮件之伪造发件人 https://mp.weixin.qq.com/s/6WUWxWXtjQNmSNGB8duM8A
• • 如何使用dig/nslookup查找域的SPF、DKIM和DMARC记录？ https://www.cisco.com/c/zh_cn/support/docs/security/secure-email-gateway/217073-how-to-use-dig-nslookup-to-find-spf-dki.html