pop-pentesting

# POP3 邮件渗透测试方法论 (110/995) ## 深入参考 - POP3 命令语法、邮件提取脚本、NTLM 信息泄露详情 -> 读 [references/pop-techniques.md](references/pop-techniques.md) --- ## 整体决策树 ``` 发现 110/995 端口开放 ├─ Phase 1: 服务发现 │ ├─ Banner 抓取 -> 识别邮件服务软件与版本 │ ├─ 110 (明文) vs 995 (SSL/TLS) │ └─ Nmap 脚本 -> 能力枚举 / NTLM 信息泄露 ├─ Phase 2: Banner 信息分析 │ ├─ 邮件服务器类型 (Dovecot / Exchange / JAMES / Zimbra) │ ├─ NTLM 信息 -> Windows 版本、域名、主机名 │ └─ CAPA 命令 -> 支持的功能列表 ├─ Phase 3: 凭据爆破 │ ├─ hydra / medusa / ncrack │ ├─ Metasploit pop3_login │ └─ 默认凭据 / 弱密码 ├─ Phase 4: 邮件提取 │ ├─ 登录后列出邮件 (LIST / STAT) │ ├─ 下载邮件内容 (RETR) │ ├─ 搜索敏感信息 (凭据、VPN配置、内部链接) │ └─ TOP 命令预览邮件头 └─ Phase 5: 已知漏洞 ├─ 服务器特定 CVE ├─ 密码日志泄露 (auth_debug_passwords) └─ searchsploit <pop3_server> <version> ``` --- ## Phase 1: 服务发现 ### 1.1 Banner 抓取 ```bash # 明文 POP3 (110) nc -nv <IP> 110 # SSL/TLS POP3 (995) openssl s_client -connect <IP>:995 -crlf -quiet ``` ### 1.2 Nmap 枚举 ```bash # POP3 能力与 NTLM 信息 nmap --script "pop3-capabilities or pop3-ntlm-info" -sV -p 110 <IP> ``` `pop3-ntlm-info` 脚本可泄露 Windows 版本等敏感信息。 ### 1.3 Metasploit 版本探测 ```bash msfconsole -q -x 'use auxiliary/scanner/pop3/pop3_version; set RHOSTS <IP>; set RPORT 110; run; exit' ``` --- ## Phase 2: Banner 信息分析 ### 2.1 CAPA 命令 ```bash # 连接后发送 CAPA 获取服务能力 CAPA # 返回支持的扩展 (如 STLS, SASL, PIPELINING) ``` ### 2.2 信息分析决策树 ``` Banner 分析 ├─ 识别邮件服务器 │ ├─ Dovecot -> Linux 邮件服务器 │ ├─ Microsoft Exchange -> Windows 域环境 │ ├─ JAMES -> Java 邮件服务器 │ └─ Zimbra -> Web 邮件套件 ├─ NTLM 信息泄露 (Exchange) │ ├─ Windows 版本 │ ├─ 域名 │ └─ 主机名 └─ STLS 支持 ├─ 支持 -> 可升级到 TLS (STARTTLS) └─ 不支持 -> 明文传输 (嗅探风险) ``` --- ## Phase 3: 凭据爆破 ### 3.1 爆破工具 ```bash # hydra hydra -l <username> -P <password_list> -f <IP> pop3 -V hydra -l <username> -P <password_list> -f <IP> -s 995 pop3s -V # medusa medusa -h <IP> -u <username> -P <password_list> -M pop3 # ncrack ncrack -p 110 --user <username> -P <password_list> <IP> ``` ### 3.2 凭据来源决策树 ``` 凭据获取路径 ├─ 已知用户名 (从 SMTP VRFY / LDAP / Web 枚举获得) │ ├─ 密码爆破 (hydra / medusa) │ └─ 密码喷洒 (单密码多用户) ├─ 邮箱格式推断 │ ├─ 企业邮箱: first.last@domain.com │ └─ 构造用户名列表 └─ 默认凭据 └─ admin / test / user + 常见弱密码 ``` --- ## Phase 4: 邮件提取 ### 4.1 POP3 命令操作 ```bash # 登录 USER <username> PASS <password> # 邮箱状态 (邮件数量和总大小) STAT # 列出所有邮件 (编号和大小) LIST # 预览邮件头 (不下载全部) TOP <msg_number> 0 # 下载完整邮件 RETR <msg_number> # 标记删除 DELE <msg_number> # 取消删除 RSET # 退出 QUIT ``` ### 4.2 邮件内容分析 ``` 邮件提取后关注内容 ├─ 密码 / 凭据 │ ├─ 明文密码 (密码重置邮件) │ ├─ VPN / SSH 配置文件 │ └─ API Key / Token ├─ 内部信息 │ ├─ 内网 IP / 主机名 │ ├─ 内部系统 URL │ └─ 组织架构信息 ├─ 附件 │ ├─ 文档 (可能含宏) │ └─ 配置文件 └─ 社会工程素材 └─ 邮件模板 / 签名格式 -> 钓鱼攻击 ``` ### 4.3 完整操作示例 ```bash # Telnet 连接示例 telnet <IP> 110 +OK POP3 server ready USER billydean +OK PASS password +OK Welcome billydean LIST +OK 2 1807 1 786 2 1021 RETR 1 +OK Message follows From: admin@company.com ... ``` --- ## Phase 5: 已知漏洞 ### 5.1 漏洞检测决策树 ``` POP3 服务版本已知 ├─ Dovecot │ └─ searchsploit dovecot ├─ Microsoft Exchange │ └─ ProxyLogon / ProxyShell 系列 (通过 HTTP 入口) ├─ JAMES 2.x │ └─ 默认凭据 + RCE ├─ Zimbra │ └─ CVE-2022-27925 / CVE-2022-37042 等 └─ 通用 └─ searchsploit pop3 ``` ### 5.2 密码日志泄露 某些 POP 服务器启用 `auth_debug` 配置会增加日志。如果 `auth_debug_passwords` 或 `auth_verbose_passwords` 设为 `true`，密码可能以明文记录在日志中。 获取服务器文件系统访问后，检查日志文件是否包含明文密码。