forum.opennet.ru

"SMTP Smuggling - новая техника спуфинга почтовых сообщений"

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

. "SMTP Smuggling - новая техника спуфинга почтовых сообщений"	+/–
Сообщение от EuPhobos (ok), 23-Дек-23, 10:18
Какому хакеру? Куда подключиться? Допустим ты подключаешься на сервер, проходишь аутентификацию, тебе разрешено отправить 10 писем в течении одной секунды, что бы не спамил почём зря, ты отправляешь одно письмо но с этими "неправильными" символами разделения которых в письме у тебя тысяча штук, и после каждого разные команды на отправку с разными адресами, по стандарту твоё письмо корректное и сервер обработает его как единое, и отправит дальше, а сл. сервер "туповатый", подумает что пришло 1000 писем с предыдущего сервера, который тебя проверил и всё норм. Ну и отправит 1000 писем на разные адреса. И так ещё 10 раз по 1000 в течении секунды, и потом каждую секунду так по 10000 писем от тебя. Вуаля, халявная рассылка. Пойди найди откуда оно летит.
Ответить \| Правка \| Наверх \| Cообщить модератору

Оглавление

SMTP Smuggling - новая техника спуфинга почтовых сообщений, opennews, 22-Дек-23, 00:04 [смотреть все]

какой-то булшит, гнать из профессии, Аноним, 22-Дек-23, 00:04 (1) //
- Согласен Законодательно применить n и закрыли тему А заголовок Content-Length , Аноним, 22-Дек-23, 06:10 (16) //
  - Не Content-Length, не разбирает SMTP сам по себе никаких заголовков Добавить DAT, Tron is Whistling, 22-Дек-23, 09:23 (24) //
    - ну и естественно без DATALEN больше одного сообщения за заход не пускать , Tron is Whistling, 22-Дек-23, 09:25 (26)
      - Поддерживаю, раз на парсют письмы Кто-нить займити джуна какого-нить пщай оформи, Аноним, 23-Дек-23, 03:24 (72)
    - 1Даже шокирует то, что диды , пися всё на Сях, так ТУПО спроектировали протоко, Аноним, 23-Дек-23, 15:38 (80)
      - Да, надо было на жабоскриптах писать, желательно всё с нпмочки стянув Но вот про, Tron is Whistling, 23-Дек-23, 22:40 (83)
      - На самом деле этот протокол никто долго не проектировал - его слепили из того, ч, Tron is Whistling, 23-Дек-23, 22:42 (84)
  - Давно есть chunking и BDAT, но опционально , anonymous, 22-Дек-23, 15:08 (50) //
    - Ух ты, пропустил это расширение Ну вот его и оставить, причём запретив пайплайни, Tron is Whistling, 22-Дек-23, 15:23 (53)
      - Тогда передача между почтовыми серврами и gw-ями будет тормозить, all_glory_to_the_hypnotoad, 22-Дек-23, 16:50 (59)
        
        Это было актуально при модемах На текущих скоростях и делеях сотню соединений вм, Tron is Whistling, 22-Дек-23, 23:32 (69)
        это я тебе как сидящий возле достаточно большого почтовика вещаю, сквозь которы, Tron is Whistling, 22-Дек-23, 23:34 (70)
- покажи свой smtp-сервер, который сделан строго по стандарту u-блюдочному кстати, лютый жабби..., 22-Дек-23, 08:30 (21) //
  - ой, кармадрючеры обиделись много тут писателей smtp серверов-то на расте, к, лютый жабби..., 22-Дек-23, 12:45 (36) //
    - А зачем кому-то писать такую скучную вещь как smtp сервер , Аноним, 22-Дек-23, 13:41 (40)
- Ты первый , Аноним, 22-Дек-23, 11:59 (35)
Прекрасный стандарт Можно и так трактовать и эдак, удобненько А главное все про, Аноним, 22-Дек-23, 00:10 (2) //
- Нельзя Просто в отдельные почтовые сервера зачем то доложили совместимостей нико, Ivan_83, 22-Дек-23, 00:27 (3) //
  - потому что почта должна ходить И принимать все, отправлять - соблюдая станда, нах., 22-Дек-23, 08:58 (23) //
    - x 400Почитал, интересно, kusb, 22-Дек-23, 10:56 (33)
    - Если бы к CRLF CRLF не понагородили алиасов - ничего бы не случилось, лишь пара , Ivan_83, 22-Дек-23, 14:37 (44)
      - smtp как стандарт почты - не случилось бы Именно потому что тогда ВСЕ типы были, нах., 24-Дек-23, 16:30 (86)
- В стандарте чётко оговорено, какой разделитель Это всё ещё отголоски войны carr, Аноним, 22-Дек-23, 00:31 (5)
- JSON-чики это тоже plain text Нужно делать как сделали с HTTP 2, т е делать но, all_glory_to_the_hypnotoad, 22-Дек-23, 01:15 (8) //
  - Бинарные протоколы очень плохо заходят в индустрию Есть с десяток основных бинар, Ivan_83, 22-Дек-23, 04:09 (15) //
    - Регулярно подвергаюсь кенселенгу на опенет за то что ругаю бинарные протоколы, п, ОШИБКА Отсутствуют данные в поле Name, 22-Дек-23, 11:51 (34)
      - Я не говорил что они плохие, я говорил что бинарные протоколы очень сложно заход, Ivan_83, 22-Дек-23, 14:34 (42)
        
        Для HTTP 1 очень даже нужно прогать на серверной части, и довольно долго и аккур, all_glory_to_the_hypnotoad, 22-Дек-23, 15:03 (48)
        
        12299 питоновских structЯсно, уносите этого в 10-ю палату , scriptkiddis, 22-Дек-23, 15:18 (51)
        
        В мусоропровод с , нах., 24-Дек-23, 16:32 (87)
        
        Я писал про клиента, но и серверу для простых вещей много ума не надо Не знаю ни, Ivan_83, 22-Дек-23, 19:04 (65)
        
        Важное преимущество этих протоколов состоит также в том, что их много Если рань, ОШИБКА Отсутствуют данные в поле Name, 22-Дек-23, 16:50 (60)
    - То то программы в индустрии все не бинарники, процессоры прямо текст исполняют , Neon, 22-Дек-23, 13:33 (39)
      - В индустрии прогают люди, людям проще прочитать текст и написать текст а не зани, Ivan_83, 22-Дек-23, 14:35 (43)
    - Это было справедливо в какие-то 80-ые, когда ещё можно было попробовать глазами , all_glory_to_the_hypnotoad, 22-Дек-23, 14:53 (45)
      - Тем не менее бинарные протоколы всё ещё плохо заходят Тот же nginx имеет реализа, Ivan_83, 22-Дек-23, 15:00 (46)
      - Можешь сколько угодно САМ СЕБЯ убеждать, что бинари - рулез, но практика и моя , Аноним, 23-Дек-23, 15:31 (79)
- Согласился бы, не будь таких же приколов с JSON из-за разницы в стандартах , Чукча, 22-Дек-23, 03:49 (14)
Это примерно половина почтовых серверов Из крупных похоже только exim оказался , Аноним, 22-Дек-23, 00:31 (4) //
- Exim топчик, Вася, 22-Дек-23, 00:57 (6) //
  - Axa https www cvedetails com vulnerability-list vendor_id-10919 product_id-1, OpenEcho, 22-Дек-23, 01:26 (9) //
    - Error 1009Access deniedчто за говно , Аноним, 22-Дек-23, 13:45 (41)
      - УМВР, наверное ты с неправильного интернета смотришь На попробуй другую ссылку n, Анонимусс, 22-Дек-23, 15:01 (47)
      - Нацональностью не вышел , Аноним, 22-Дек-23, 21:44 (67)
        
        паспортом Дискриминация по национальному признаку - позапрошлый век и уже немод, нах., 24-Дек-23, 16:36 (88)
        
        Ты еще скажи, что паспорта и разрешение на вьезд а не на выезд - это плохо , Аноним, 24-Дек-23, 17:38 (92)
  - exim топовое шерето, Аноним, 22-Дек-23, 02:43 (13)
Астрологи объявляют неделю расщеплений сначала Terrapin, теперь ещё и Smuggling, BratishkaErik, 22-Дек-23, 01:14 (7) //
- И самое главное ведь как всегда - к праздничкам подарунчик пока админы бухают, OpenEcho, 22-Дек-23, 01:27 (10)
A Sec Consult козлики могли бы сперва оповестить вендоров, как это принято, н, OpenEcho, 22-Дек-23, 01:36 (11) //
- Они то предупредили Все претензии к автору перевода, который поленился об этом , kazh, 22-Дек-23, 02:38 (12) //
  - Предупредили Прям перед праздниками, в то время когда любая нормальная секьюрити, OpenEcho, 22-Дек-23, 07:05 (17) //
    - А, ну конечно нужно было подождать с критической проблемой - разрабам же обязате, Аноним, 22-Дек-23, 12:54 (37)
      - Не, нет, что-ты Они должны пахать, как ты , с испорченным настроением на праз, OpenEcho, 22-Дек-23, 17:58 (62)
- На самом деле они подождали, пока уважаемые люди тм пофиксили, проблемы осталь, Аноним, 22-Дек-23, 13:18 (38) //
  - Вот поэтому - и козлы, OpenEcho, 22-Дек-23, 18:04 (63)
Wietse Venema, очередной раз - респект https www postfix org smtp-smuggling h, OpenEcho, 22-Дек-23, 07:19 (19) //
- Это частичное решение, которое при должной настойчивости можно обойти А менно, , Имя, 22-Дек-23, 15:48 (56) //
  - Какой нахрен пакет в TCP Для нудных да, TCP разбивается на пакеты при отправке, Аноним, 22-Дек-23, 17:39 (61)
  - Лучше, - чем ничего, OpenEcho, 22-Дек-23, 18:06 (64)
- кортинге нигрузяца, Аноним, 22-Дек-23, 19:23 (66)
Заглянул на почтовики, reject_unauth_pipelining добавлено с какого-то там борода, Tron is Whistling, 22-Дек-23, 08:41 (22) //
- Заглянул на почтовики, увидел что хоть reject_unauth_pipelining присутствует с к, San, 22-Дек-23, 09:24 (25) //
  - А смысл Пока достаточно предотвращения pipelining в процессе обработки данных П, Tron is Whistling, 22-Дек-23, 09:27 (27) //
    - Мне кажется, что эти директивы все-таки немного разного назначенияОдна проверяет, San, 22-Дек-23, 09:56 (29)
      - В любом случае обе можно обойти, авторизовавшись и выровняв пайплайн по границе , Tron is Whistling, 22-Дек-23, 10:05 (31)
      - Первая запрещает слать DATA в пайплайн, вместе с другими командами, не отдельным, Tron is Whistling, 22-Дек-23, 10:09 (32)
Всегда использовали 0 и не было никаких проблем, зачем придумали эту абракадабр, ИмяХ, 22-Дек-23, 09:58 (30) //
- Правда что ли 0 не текст, что является проблемой для текстового протокола, да , Аноним, 23-Дек-23, 10:11 (74)
- в hello, world ах Там да, там и повезти могло А в индустрии решения хуже n, User, 25-Дек-23, 09:36 (93)
Испытываю странные ощущения - настоящим почтовиком занимался в 10-е годы, сейчас, abu, 22-Дек-23, 15:05 (49) //
- Да всем Потому что разосланный этим способом спам и тебе придёт, в том числе , Tron is Whistling, 22-Дек-23, 15:25 (54) //
  - С такой точки зрения - действительно так и есть , abu, 23-Дек-23, 03:17 (71)
Уж сколько раз твердили миру in-band signalling - смертельный грех Но только в, Аноним, 22-Дек-23, 15:33 (55)
Не уловил в чём проблема Ну один сервак считает это одним письмом, второй счита, Аноним, 22-Дек-23, 16:18 (57) //
- Неа Основная проблема вот в чем второе письмо может быть отправлено от имени по, Аноним, 22-Дек-23, 16:49 (58) //
  - Так а сервак почему не проверяет от кого второе письмо Он проверяет только перв, Аноним, 22-Дек-23, 21:51 (68) //
    - Какому хакеру Куда подключиться Допустим ты подключаешься на сервер, проходишь , EuPhobos, 23-Дек-23, 10:18 (75)
      - Это же smtp поднимите у себя сервер и отправляйте хоть по миллиону писем в секу, ыы, 23-Дек-23, 13:05 (76)
        
        Ты либо троллишь, либо никогда не поднимал такой сервер , Аноним, 23-Дек-23, 19:13 (82)
Ну так проблема у несоответствующих клиентов, зачем поддерживать несоответствие,, EuPhobos, 23-Дек-23, 10:07 (73)
то есть проблема в том что в этом случае подделывается поле не только From , но, ыы, 23-Дек-23, 13:19 (77) //
- SPF, Аноним, 24-Дек-23, 07:38 (85)
- п-дюли, как ни странно А в этом случае - все следы закончатся на ТВОЕМ сервере И, нах., 24-Дек-23, 16:39 (89)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру