有了郵件防火牆你就安全了嗎？想法太單純了……

新聞 06-02

我們可以注入什麼東西呢？它可以是任何MIME類型的後門，比如：

1. 勒索軟體

2. 宏病毒

3. ZIP文件

4. 釣魚攻擊代碼

在這篇文章中，稍後會介紹兩起成功的攻擊案例。

漏洞組件

幾乎所有接受入站SMTP連接的加密應用都可能受到攻擊。我們的研究還發現，不僅硬體可以被攻擊，而且虛擬主機同樣會受到危害。

漏洞修復

據我們目前了解，我們沒有發現可以完全防禦這種攻擊的補丁。我們目前只確定了兩種解決方法：

1. 完全禁用掉網關到網關之前的加密服務。

2. 實施郵件檢測方案，執行郵件的解密以及威脅檢測工作。

修復這個漏洞沒有快速解決方案。所以公司需要投入一定的時間以及人力去尋找有效的防護措施。

漏洞詳情

眾多的郵件加密應用使用如下兩種方式部署：

1. 郵件加密應用以及郵件安全網關都在公司防火牆內部。這些MTA都會被分配給一個獨立公開的IP地址。攻擊者可以繞過郵件安全網關，直接到達郵件加密應用，將後門注入到郵件中。然後這些信息通過路由器到達內部網路，並在內網中傳播。

2. 郵件加密應用在郵件安全防火牆之外，就像微軟線上防護(EOP)一樣。同樣的，這些MTA也會被分配給一個公開的獨立IP，攻擊者同樣可以直接到達加密應用，將後門注入到郵件中。郵件加密應用將所有郵件進行解密，然後發送到郵件安全網關。但是當安全網關進行郵件檢測時，發送者的IP是加密應用的IP，而不是攻擊者IP，所以防護措施這時是無效的。

攻擊模擬

注意：這裡為了保護目標公司不受到攻擊，我們採用了無效的郵箱進行攻擊。並且我們只是進入到內部SMTP伺服器中，確保任何用戶不會執行我們的後門。

實驗一:攻擊成功

環境：Microsoft Exchange伺服器，電子郵件加密設備

我們攻擊的目標是使用了WatchGuard作為郵件安全網關對Exchange伺服器進行保護的。

步驟一：選擇攻擊目標

Excelsior Springs醫院,位於 Excelsior Springs MO，具有400位職員。

步驟二：收集信息

在選中目標之後，我們使用自動收集信息腳本收集關於目標郵件伺服器架構的公開信息。腳本首先確定了目標的MX記錄。

接下來使用暴力破解對電子郵件加密設備進行查找，這樣我們可以找到所有子域名以及其對應的MX記錄。

然後我們使用設備搜索工具去測試我們找到的所有MTA，確定它們的25埠是否開啟。最後為了快速的找到這個公司的有效郵箱，我們使用了whois進行查找。

最後我們找到了ArtGentry的一個郵箱:

步驟三：對電子郵件進行測試發送

我們發送一個沒有任何危害的載荷，這會讓我們了解到目標郵件安全網關以及內部郵件伺服器是如何處理信息的。你可以看到，郵件安全網關接受了這一郵件。

我們郵件已經到達了目標內部郵件伺服器，然後會發送到用戶郵箱中。因為我們填寫的是無效的郵箱，所以目標的郵件伺服器會返回給我們」目標不可達」的錯誤信息。NDR最大的危害在於他們常常暴露太多內部網路的信息。在此次攻擊中，NTR暴露了目標網路內部的以下內容：

WatchGuard Email Security Gateway

Microsoft Exchange Server 2010 with IP address 10.2.100.253

virusTotal對惡意軟體進行分析的SHA256,以及名稱如下所示：

URL: hxxp://LASVEGASTRADESHOWMARKETING.COM/file.php?

document=MzM2MGFteUBrb250cm9sZnJlZWsuY29tMjEzNQ==

VirusTotal』s URL Analysis

Binary: Legal_acknowledgement_for_amy.doc

SHA256: 39cb85066f09ece243c60fd192877ef6fa1162ff0b83ac8bec16e6df495ee7af

VirusTotal』s Binary Analysis

不出所料，目標的郵件安全網關識別出了惡意軟體，並且攔截了此條信息。

步驟五：進行拆分SMTP隧道攻擊

在確認郵件安全網關能夠識別惡意以及正常郵件之後，我們進行拆分SMTP隧道進行攻擊。我們對之前步驟中的惡意郵件進行重新發送。但是這一次我們直接到達了目標郵件加密設備，而不是到達郵件安全網關。並且郵件加密設備接受了這一惡意軟體，並對他進行加密(如圖中:250 2.0.0 Ok: queued as 3BE32281A62)：

在之前的測試中，當郵件通過目標Exchange伺服器發送到用戶郵箱時，如果用戶郵箱不存在，那麼就會返回」不可達」錯誤信息。你可以在下圖中發現我們收到了Exchange伺服器返回給我們的NDR，就說明我們的攻擊已經成功了。此外NDR缺少」「X-WatchGuard」標頭也表示了我們繞過了目標郵件安全網關。