IMAP/SMTP 注入

叁歲伎倆 2021-12-18 21:27 749阅读 0赞

## **0x00：介绍** ##

IMAP 就是 Internet Mail Access Protocol 的缩写翻译来就是邮件访问协议，也就是用来收邮件的（和它类似的还有个 POP3，也是用来收邮件的）。SMTP 就是 Simple Mail Transfer Protocol 的缩写翻译来就是邮件传输协议，也就是用来发邮件的。

IMAP/SMTP 注入也就是收邮件发邮件的注入，有很多类似于这样的功能，例如要发消息给某个用户组或者某个用户，程序会提供一个发邮件的方式，输入名称、邮件地址、邮件内容即可。或者是一些重要的邮件通知功能找回密码登录等，要用户填入信息进行验证发送邮件给自己。而注入就是未对用户输入的地址做严格的过滤和限制，导致可以加入一些其他的邮件头，例如 CC 抄送等。

## **0x01：邮件头** ##

基本所有的邮件都支持原文查看，类似于网页查看源代码，比如 qq 邮箱点击显示原文来查看邮件的原始内容，即带标题头的内容。

![请输入图片描述][format_png]

以下是常见的标题头字段说明。

*  return-path：邮件的回复地址。
 *  from：发件人地址。
 *  to：收件人地址。
 *  subject：邮件主题，即邮件名。
 *  body：邮件内容。
 *  date：邮件发送日期。
 *  cc：抄送。
 *  bcc：密送。

而我们程序中发送邮件时则需要按这种模式来发送邮件。

## **0x02：示例** ##

拿 bwapp 的 mail 注入来做示例，这里因为 bwapp 发送邮件使用的是 mail 函数，它不支持 smtp 的身份验证功能，所以不方便发邮件，我们这里只分析它的原理和利用方法，大家如果感兴趣下去可以使用一些 php 库完善此功能，例如 pear mail，phpmailer 等，这里需要注意的是，公开完善的库是有防御邮件头注入攻击机制的。

![请输入图片描述][format_png 1]

以上是填入名称邮箱地址和内容后发送的数据包截图，我们先看下代码的实现。

if(isset($_POST["form"])){
 
 if(!email_check_2($_POST["email"]) && ($_COOKIE["security_level"] == "1" || $_COOKIE["security_level"] == "2")){
 
 $message = "Enter a valid e-mail address!";
 
 }else{
 
 if($smtp_server != ""){
 
 ini_set( "SMTP", $smtp_server);
 
 }
 
 if($_COOKIE["security_level"] == "2"){
 
 $email = maili_check_2($_POST["email"]);
 
 }else{ 
 
 $email = $_POST["email"];
 
 }
 
 $content = "Content:\n\n";
 $content .= "Name: " . $_POST["name"] . "\n";
 $content .= "E-mail: " . $email . "\n";
 $content .= "Remarks: \n";
 $content .= $_POST["remarks"] . "\n\n";
 $content .= "Greets from bWAPP!";
 
 $status = @mail($recipient, $subject, $content, "From: $email");
 
 if($status != true){
 
 $message = "An e-mail could not be sent...";
 
 }else{
 
 $message = "Your message has been sent to our master bee!";
 
 }
 }
 }

代码首先会检查邮箱的格式是否正确，当难度等级设置的低时，也就是不为 2，email 会直接接收传来的 email 值，难度不是低时会进行检测邮箱格式是否合格，这时邮箱字段注入一些 cc、bcc 字段就会失败，检测邮箱函数如下。

function email_check_2($data){
    
        return filter_var($data, FILTER_VALIDATE_EMAIL);  
     }

函数使用了 php 自带的 filter\_var 函数进行了变量的过滤，过滤规则是 php 自带的 FILTER\_VALIDATE\_EMAIL，也就是过滤验证邮箱。我们继续看上面发邮件的核心代码，低级难度直接拼接邮箱后，进行了内容的组合赋值给了 content 变量，然后使用了 mail 函数发送，代码中 mail 函数的最后一个变量是 From:$email。如下。

$status = @mail($recipient, $subject, $content, "From: $email");

mail 函数 5 个参数说明分别是规定邮件的接收者，邮件的主题，发送的内容，额外的报头。这里的额外包头用来规定一些例如 form、cc、bcc 等内容，也就是发送人，抄送，密送这些。也就是上文的 email 变量，当程序接收时没有进行严格过滤，我们就可以添加一些 cc、bcc 等来截获邮件等。

通过以上代码可以看出 name 和 email 都是没有进行过滤的，也就是我们修改哪一个都可以，比如这里抓包修改了 email 的值，由原来的 test@test.com 改成了 test@test.com\\nbcc:hack@hack.com, 那这个邮件就会顺便密送给 hack 这个邮箱。

![请输入图片描述][format_png 2]

## **0x03：测试及修复** ##

邮件注入可以关注一些发送邮件的功能，有些找回密码等也会这么设计，可以添加一些类似 cc、bcc 等字段来测试，白盒审计关注一下内容来源是否可控，是否有函数过滤规则等机制。

对于防御建议发邮件等信息在后台操作，用户是黑箱操作，同时建议有过滤器或者是邮箱是否合法的验证机制，这里注意的是验证机制不要只加在前端。或者使用一些公开的库、框架来操作，关键字建议过滤换行符、bcc、cc、from 等。

## **0x04：总结** ##

邮件注入其实和其他的注入原理基本一样，都是因为前端用户数据可控，且后端没有相应的过滤规则和机制而造成的问题。

--------------------

**                                                                公众号推荐：aFa攻防实验室**

**分享关于信息搜集、Web安全、内网安全、代码审计、红蓝对抗、Java、Python等方面的东西。**

![20191220230427373.jpg][]

[format_png]: /images/20211219/727d1c2855e045b784686a915455df2c.png
[format_png 1]: /images/20211219/2485f08d707141cd9ba4658f556bb3a1.png
[format_png 2]: /images/20211219/cc3f28dd6b5c4fe4b20f8a68f5d59837.png
[20191220230427373.jpg]: /images/20211219/726d59ab502a4bbbaaec027552b1ad6e.png