Hola a tod@s!
En muchas ocasiones me comentan que le llegan a su
bandeja de correo algunos email anónimos o de procedencia desconocida, con nombres de
usuarios que no conocen o que les envío un correo el mismísimo Rey o Naomi
Campbell. Otros en cambio me consultan como pueden enviar correos anónimos o
hacerse pasar por otra persona.
Son muchos los métodos existentes para tal fin en los que
hoy no voy a entrar. Lo que hoy se va ilustrar aquí son las vulnerabilidades
existentes en algunas páginas webs con el método “enviar a un amigo” en estas
páginas es posible enviar correos anónimos, haciéndonos pasar por cualquier
personas. Parece que los programadores de este tipo de páginas no se dieron
cuenta de esta errata, que a día de hoy sigue siendo una vulnerabilidad porque desde
el servidor de correo de la web se puede bombardear a correos a usuarios y
claro esta de donde vienen los correos…
Navegando por la red encontré esta web, como podéis observar trata sobre la filosofía. Escogí un artículo o noticia al azar.
Imagen 1: Artículo al azar
Hacemos clic sobre el artículo y buscando la opción "enviar a un amigo".
Imagen 2: Opción "Enviar a un amigo"
Una vez dentro de la opción tenemos que editar el mensaje borrando el texto a enviar y el formato. Ahí radica el fallo, nos deja autenticarnos, es decir nos da las textbox de tu email y tu nombre, cuando el correo se debería haber desarrollado diciendo que viene desde la web "x". Esas dos textbox sobran y que decir de el asunto y del mensaje, lo que ibas a enviar no debería poder ser modificado.
Imagen 3: Modificación del mensaje
Vamos a enviar el correo y nos dará confirmación de que llego correctamente.
Imagen 4: Conformación
Accedemos al correo de destino para ver si llego correctamente a la bandeja de entrada.
Imagen 5: Bandeja Outlook
Efectivamente el correo llego, Michael Jackson nos envía un correo electrónico.
Imagen 6: Correo Fake
Lógicamente quien puede creer que algún famoso le envía un
correo electrónico..., pero siendo algo malos, se podría enviar este tipo de
correos entre amigos, conocidos, familia, trabajo y si tendría más credibilidad.
Haciéndose pasar por el amigo de un amigo o el jefe de "x".
No penséis que estas acciones están libres de ser descubiertas. Por su puesto es posible saber quien envió el mensaje, tan sólo basta con analizar el código fuente del mensaje para saber quien lo envió realmente.
Una vez dentro y analizando el código fuente se puede ver la IP y el autentico proveedor de correo. Con la IP y geolocalización se puede llegar al atacante.
No seáis malos. 
2 comentarios
comentariosNo te líes, es mucho más fácil.
ReplyInstala MiniRelay y comprueba que tienes el cliente telnet en tu pc.
Escribe en la cmd "telnet 127.0.0.1 25"
Y escribes (intro cada vez):
HELO loquesea
MAIL FROM: email@delqueenvia.com
RCPT TO: email@delquerecibe.com
DATA
Subject: asunto
Escribes el email, puedes usar el intro. Al terminar tienes que poner un punto en una sola linea:
.
EXIT
El correo se envía sin formularios ni nada. Y además minirelay permite cambiar los encabezados del email para obfuscarlo más.
Correcto amigo, lo sabía, como digo al principio del post existen un montón de métodos para tal fin, pero en este post quería enseñar las webs con esos errores en los que se puede mandar emails.
ReplySalu2.