L'email se décompose en trois surfaces d'attaque atteintes très différemment. Les protocoles filaires (SMTP pour le transport, IMAP et POP3 pour l'accès) sont attaqués au niveau du service : énumération, relais, authentification et failles du logiciel serveur. L'authentification d'expéditeur (SPF, DKIM, DMARC) est attaquée au niveau du DNS et du destinataire : des enregistrements faibles ou absents permettent à un attaquant d'envoyer du courrier qui usurpe le domaine tout en passant les contrôles. Le webmail est attaqué comme une application web : le frontal HTTP au-dessus de la boîte aux lettres, où les bogues de XSS, de SSRF et d'écriture de fichiers se transforment en prise de contrôle de la boîte aux lettres et en exécution de code.
Triage#
nmap -sV -p25,110,143,465,587,993,995 <target> # which mail protocols are live
dig +short TXT <domain> | grep -i spf # SPF present and how strict
dig +short TXT _dmarc.<domain> # DMARC policy: none / quarantine / reject
curl -skI https://<target>/ | grep -i -E 'roundcube|horde|zimbra' # webmail fingerprint
Un service SMTP/IMAP/POP3 actif oriente vers Protocoles ; un enregistrement SPF/DMARC permissif ou absent oriente vers Authentification d'expéditeur ; une page de connexion webmail oriente vers Webmail.
Sous-thèmes#
- Protocoles : SMTP, IMAP et POP3, attaqués au niveau du service pour l'énumération, le relais, l'authentification et l'exploitation serveur.
- Authentification d'expéditeur : lacunes des enregistrements SPF, DKIM et DMARC, et l'usurpation qui en abuse.
- Webmail : Roundcube, Horde et Zimbra, attaqués comme des applications web placées devant le magasin de courrier.