关于电子邮箱的诈骗手段

0x00 这是个啥？

　　通常情况下，我们接到一封电子邮件后，都会首先看发件人，如果是比较重要的电子邮件，我们可能想去看下发件人详细地址。但是，如果这个电子邮件的发件人是仿冒的，你要能知道是谁在给你发邮箱么？

　　当你在谷歌搜索“发件人仿冒”相关内容的时候，可以看到好多好多的网站提供了实现这种功能的方法与构思：

　　1.png因为写作者并没有对这些网站的内容进行检测，也不知道这些方法能否成功仿冒，但是可以肯定的是，的确是有方法可以仿冒电子邮箱的发件人。

　　那究竟是什么造成的发件人仿冒呢？下面我们来分析分析造成发件人仿冒的诱因。

　　0x01 SMTP是什么？

　　要想了解诱因，我们需要首先了解一下什么是SMTP。

　　首先先了解一下几个定义：

　　MUA:Mail User Agent（用户电子邮件代理），用户通过MUA接受发送邮件，比如Outlook, FoxMail等。

　　MTA:Mail Transfer Protocol（电子邮件传送代理），是SMTP的一种实现，MTA仅仅负责电子邮件的传送。如果信函的到达站并不是本身的用户，且该封信的相关数据符合使用MTA的权利，那么MTA就会将该封信再传输到下有部服务器上。这亦是所谓的转递的功能。

　　MDA: Mail Deliver Agent（电子邮件派发代理），负责将接受到的电子邮件保存在邮件服务器上，在这里可以设置对电子邮件进行过虑或自动回复内容。

　　MRA: Mail Receive Agent（电子邮件接受代理），用于实现IMAP，POP3协议，负责与MUA互动，将网络服务器上的电子邮件通过IMAP以及POP3传送给手机客户端。

　　SMTP全名是Simple Mail Transfer Protocol，意译过来就是简单电子邮件传送协议，主要的工作就是把电子邮件信息从发件人的邮件服务器中传输到接受人的邮件服务器中，有时候我们使用MUA来发送邮件的话，也承重传送用户电子邮件到发件网络服务器的功能。但是SMTP存在一个问题，就是没有对上传方进行一个身份认证。用下面的图来说明一下电子邮件的投寄过程。

　　2.、用户利用MUA寄信到MTA，这里面包括了几个项：

　　发信人与发信网站，比如 admin@evi1cg.fire。其中evi1cg.fire就是发信网站，即收信函的MTA。

　　收信人与收信网站，比如 admin@email.server，其中admin就是email.server里的一个账户。

　　2、当MTA接到信函后，会通过DNS的MX记录进行查寻，如果email.server是MTA自己，这时MTA就会把电子邮件交到MDA处理，置放到收信者的邮箱中。

　　3、如果email.server不是自己，那么这个信函就会被传送出来。

　　4、当远程MTA接到当地MTA发送的电子邮件后，会将信函交到它的MDA处理，等候用户的载入或下载。

　　正是由于MTA之间发送电子邮件是不用认证的，所以这就变成可以仿冒发件人的原因。

　　0x02 怎么构建SMTP Server？

　　怎么才能构建自己的SMTP Server？这个网上有很多实例教程，这里为了快速构建，可以选择使用ewomail，编码是开源系统的,构建起来也比较方便，也有很好的说明文本文档。EwoMail是基于postfix和Dovecot，依照说明文本文档迅速就可以布署结束了，布署结束之后需要加上用户账户：

　　3.之后就可以通过加上的账户来发送邮件了。

0x03 如何仿冒网站域名？

　　关于仿冒网站域名有一个很功能强大的工具SimpleEmailSpoofer，下面我们就使用这个工具来检测一下：

　　python SimpleEmailSpoofer.py -t 目标电子邮箱 -f 要仿冒的发件人详细地址 -n From_name -e 电子邮件内容 -j 电子邮件主题 -s 你自己的smtp详细地址 -p 25 --user 你加上的用户 --pass 你加上用户的登陆密码4.png在这里可以看到出错了，Sender address rejected: not owned By user XXX, 这里是postfix设置的问题。需要进行一下改动/etc/postfix/main.穿越火线手游 找到smtpd_sender_login_maps，改动为：

　　smtpd_sender_login_maps = mysql:/etc/postfix/mysql/mysql-sender-login-maps.穿越火线手游,pcre:/etc/postfix/login_maps.pcre在建/etc/postfix/login_maps.pcre/^(.*)$/ test@yourdomain.Com注：含意是允许用户test@yourdomain.Com的用户使用随意domain。

　　找到smtpd_recipient_restrictions，删掉reject_unknown_sender_domain，这样就不会对上传的域进行认证了。

　　改动完成之后，执行以下指令：

　　postmap /etc/postfix/login_maps.pcrepostfix reload改动完成之后，再度上传：

　　5.png查看gmail:

　　6.png7.png然，在初始电子邮件里面，还是有自己的域名信息。至于如何尽量避免自己的信息，可以参照这篇。

　　经过检测，如果收信网络服务器对spf校检不通过的电子邮件未作处理，依然可以仿冒加上过spf记录的域。如QQ电子邮箱检查spf失败就直接回绝接受电子邮件，但是Gmail依然接受。这里要注意一点，spf中如果配置为~all，则表示为接受写信，但是做标识，QQ电子邮箱里就会接受到该类仿冒的电子邮件，不过会置放于垃圾短信里。

　　0x04 如何检测？

　　这里有一个工具可以用于检测网站域名是否可以被仿冒:spoofcheck，使用非常简单，例如baidu:

　　8. 如何解决？

　　为了促使网站域名不会被仿冒，需要为网站域名正确配置spf、DKIM、DMARC。只配置spf是不好的，关于spf的配置可以参照这里，关于DKIM的配置可以请联系我，关于DMARC的配置可以参照这里。

　　0x06 参照1、htpp://WWW.jianshu.Com/p/610d9bf0ae8b2、.com://lomu.fire/post/spf-DKIM-DMARC-PTR3、htpp://serverfault.Com/questions/318334/how-To-enforce-sender-address-To-whi-logged-In-userexample-org-In-postfix4、htpp://major.io/2013/02/14/remove-sensitive-information-from-email-headers-with-postfix/5、htpp://realtechtalk.Com/Postfix_how_To_secure_outgoing_authenticated_emails_For_privacy_little_hide_则_iP_address_mailer_little_other_things-1573-articles