重要提示：谷歌和雅虎将从 2024 年 4 月起要求使用 DMARC。
阅读更多
权力管理机构

渗透测试员的电子邮件认证

Ahona Rudra
渗透测试员的电子邮件认证

渗透测试员的电子邮件认证

阅读时间 4 分钟

渗透测试人员在识别和解决企业安全态势（包括电子邮件安全）中的漏洞方面发挥着至关重要的作用。通过了解 DMARC 及其工作原理，渗透测试人员可以更好地评估企业的电子邮件安全防御措施，帮助确保客户免受基于电子邮件的攻击。

根据《全球DMARC采用报告-2019》、 69.6%欧盟前500名互联网零售商的域名没有使用DMARC。当代的渗透测试演习很少涉及电子邮件安全，这需要改变，以实现更安全的数字景观。

为什么电子邮件认证很重要？

渗透测试是一个尝试对系统的IT基础设施（包括电子邮件发送域）进行授权模拟攻击的过程，以发现安全漏洞。有3个主要原因 电子邮件认证 渗透测试人员的电子邮件认证有三个主要原因。

预防欺诈

坏人利用邮箱没有建立强大的默认安全协议的机会。他们欺骗和引诱受害者分享敏感信息，让他们相信这些邮件来自合法来源。一起 SPF、DKIM和DMARC通过只允许授权实体使用你的官方域名发送电子邮件来防止这种情况。

品牌形象保护

学习渗透测试人员的电子邮件认证 很重要，因为它可以防止以你的品牌名义进行的攻击，从而保护品牌形象。

增强电子邮件的可送达性

电子邮件被退回不仅会妨碍您的公关、营销和销售活动，还会导致电子邮件送达率低下。电子邮件送达率是指将电子邮件发送到收件人收件箱而不被标记为垃圾邮件或退回的能力。了解更多有关 电子邮件验证如何帮助提高电子邮件送达率.

什么是SPF、DKIM和DMARC？

SPF、DKIM和DMARC是电子邮件认证协议，用于验证电子邮件发件人的真实性，以确保它来自它所说的来源。不符合这些协议的域名会发现他们的邮件被标记为垃圾邮件或被退回。不仅如此，威胁者还可以轻易冒充他们，向人们发送欺诈性信息，要求他们分享敏感信息或进行金融交易。

SPF是如何工作的？

SPF或发件人政策框架是一种用于渗透测试者的电子邮件认证方式。 渗透测试者的一种电子邮件认证方式，它创建了一个允许发送电子邮件的服务器列表，并添加到你的域名的DNS中。任何在该列表之外的发送服务器都会被标记出来。

DKIM是如何工作的？

DKIM或域名密钥识别邮件使域名所有者能够签署电子邮件标题，以帮助验证过程。DKIM的工作原理是密码学的概念，因为它涉及数字签名。你会收到一对公钥和私钥；前者存储在DNS上供公开访问，后者则秘密地保存在发送服务器上。

接收者的服务器匹配这两个密钥；如果匹配成功，DKIM验证通过，否则就失败。DKIM政策对电子邮件交付能力和反垃圾邮件措施有积极的 DKIM政策对电子邮件交付能力和反垃圾邮件措施有积极影响.

DMARC是如何工作的？

DMARCDMARC是基于域的消息认证报告和一致性的简称。它与SPF和DKIM协调工作。

 

DMARC负责告诉接收者的邮箱如何处理从你的域名发出的、未能通过SPF和/或DKIM验证检查的邮件。你可以选择三种政策中的一种 政策来决定；p=none（对未通过验证检查的邮件不采取任何行动），p=quarantine（未通过验证检查的邮件被标记为垃圾邮件），或p=reject（未通过验证检查的邮件被退回）。

渗透测试人员如何利用DMARC的错误配置？

作为渗透测试人员，你可以进行模拟攻击来检测被观察的域名的电子邮件认证漏洞。你可以这样进行。 

获得你的域名

渗透测试人员进行电子邮件认证的第一步包括拥有一个域名来安装一个邮件欺骗者，并通过冒充企业来发送电子邮件。你可以使用任何符合你要求和预算的域名供应商。

设置域名

一旦你有了域名，把它添加到DNS面板。删除 "DNS管理 "面板下的任何内容以模拟攻击。随后，应替换域名服务提供商面板上的给定名称服务器。你会得到一个配置文件的API密钥，用于你对渗透测试人员的电子邮件认证的演练中的后续步骤。

设置VPS

请注意，如果您的VPS IP的信誉很差，您可能需要重复这个步骤，因为在这种情况下，您的邮件不会被送达。

由于 VPS 不会消耗大量资源，因此您可以选择价格低廉的 VPS，但仍能获得正常运行的实例。切记将主机名设置为您的域名，否则将无法模拟攻击。

使用以下命令：

apt-get安装git

apt-get update && apt-get install docker-compose

接下来，复制GitHub仓库，进入 "新创建的目录"，在那里你必须编辑设置，添加你的域名和API密钥。

当你完成这些步骤后，输入 "docker-compose up "并等待几分钟，你的网络服务器就会启动。

发送网络钓鱼邮件

最后，向目标发送钓鱼电子邮件，以了解 DMARC 配置错误的总体情况。 

笔测试报告

现在，你对渗透测试人员的电子邮件认证以及如何利用DMARC错误配置有了足够的了解，在模拟攻击后起草一份出色的报告是很重要的。 

 这里有四件事要加到专业的笔测试报告中。

1.战略方向的执行摘要

这包括用通俗的英语（或任何其他喜欢的语言）对电子邮件认证漏洞的风险和影响的高层次看法。这一部分通常是为那些可能不太精通技术术语的管理人员准备的。 

2.对技术风险的解释

你需要对风险的强度进行评级，以便IT团队能够迅速做出有影响力的动作，修补电子邮件系统的漏洞。

3.脆弱性的潜在影响

电子邮件安全相关的风险被分成两块--可能性和潜在影响。它可以帮助修复团队根据潜在的影响来确定修复漏洞的优先次序。 

4.多种补救方法

确保你建议的补救方法不仅仅是完全禁用域名或电子邮件账户。包括以下方法 记录查询，SPF记录扁平化，更严格的DMARC政策，等等。

保护你的域名免受电子邮件安全风险的影响

渗透测试人员的电子邮件认证知识 对于保护数字资产免受网络钓鱼和垃圾邮件的影响非常重要。SPF和/或DKIM的合规性是强制性的，因为 遵循SPF和/或DKIM是DMARC部署，因为它告诉接收者的服务器如何处理未能通过认证检查的电子邮件。你可以设置无、隔离或拒绝政策。

PowerDMARC提供免费试用，以帮助你开始你的DMARC之旅，实现一个更安全的电子邮件环境。 请联系我们以了解更多.

Ahona Rudra的最新文章(查看全部)
退出手机版