在邮件安全领域，我们都是防守者，日常所接触的账号安全事件处置、账号安全培训等与网络安全相关的活动，均是以防守者的角度来谈。虽说防守效果不错，但总是从同一个角度去多次阐述相同的话题，不免有些审美疲劳，所以这次我们跳脱出我们固定的防守者思维，以一个攻击者的身份去思考账号安全的问题，说不定能发现一些新的防守思路。
1 我为什么要攻击邮箱账号
邮箱账号是使用者在互联网上的身份标识，代表着使用者这个“人”，并且互联网是有记忆的，这个身份标识在网上做了好事或是坏事，均会被标记，“天网恢恢疏而不漏”这句话用在互联网种，再合适不过了。再者，在互联网上想要获取受害人的信任，除了高级的伪装手段之外，获取他关系网中某一环的账号，难度相对会低一些。所以我们从刚才说的分析中，可以得出攻击者攻击邮箱账号的理由：
（1）可以使用别人的身份标识干坏事，最终被追责的也是这个身份标识的所有者。
（2）可以更快更方便获取同个关系网中受害人的信任，方便下一步获取利益。
2 我会攻击哪些账号
账号攻击，首先得有个攻击目标，那么哪些账号会成为首要的攻击目标呢？一般攻击者会从多个维度去评估，但万变不离其宗，一般都脱离不了下面的几个要点：
（1）已知的账号。暴露在外部的账号，如很多应用的注册都要求填写邮箱账号作为用户名，但这些应用又是信息泄露的高发区。
（2）重要程度。一般根据域名去查询，是否属于商业域名，一般很少会有攻击者会特意攻击个人邮箱，道理很简单，攻击者也讲究成本与收益的比例。
（3）有规律的账号。首先拥有一个已知账号，根据域名查询知道这个域名是商业域名，再根据一般企业邮箱的规律，猜测高管的邮箱账号（一般为名字简单缩写，而高管的名字一般在企查查都能查到）。
3 选择攻击方式
根据这个账号的具体情况，攻击者的攻击一般分为两种方式：
（1）撞库。这个账号曾经在某些网站的信息泄露事件中泄露过账号密码。
（3）暴力破解。暴力破解其实也有一定的技巧，并不是简单的字符组合，一般暴力破解的攻击者手中都有一本常用字典，这一类字典会根据受害人的信息自动更新变化，如姓名拼写、生日、手机号、伴侣的信息等。大多数人的密码看似包含了字母大小写、数字、特殊字符等强密码的特征，但其本质上还是个人信息的组合，所以被攻击者拆解的概率也不小。
4-1 开始攻击—暴力破解
一般邮箱系统都会有一个本地防爆破的UD策略，如30分钟内错7次就封禁登录IP 20分钟。但这种机械性的防守方式，攻击者能够很轻易地绕过，下面举例给出常用的两种绕过方式：
（1）长时间低频的暴力破解。在前期的几次尝试之后，攻击者基本能够了解UD灰名单的基本策略，那么攻击者可以写一个脚本，设置每过30分钟，就会自动破解6次，低于触发UD灰名单的阈值即可。缺点就是破解时间较长，被害者如果没有定期更换密码的习惯，破解几个月，迟早会被破解出来。
（2）频繁更换IP进行暴力破解。目前网上有很多廉价的IP资源，只需十几元，就能得到上万个可用IP，则足以说明攻击者频繁更换攻击IP所需要的成本并不高。
4-2 开始攻击—钓鱼邮件
刚才说到的暴力破解，是人（攻击者）与机器（受害者的UD灰名单策略）的斗争，现在要说的钓鱼邮件，稍微要复杂一些，是人（攻击者）与人（受害者）之间的博弈。这里的博弈涉及各个方面，包括搜集受害者的个人信息，了解他的邮件使用习惯，分析他的信任关系网等等，最终会采用常见的3种钓鱼邮件去欺骗受害者。
（1）携带链接的钓鱼邮件。这里的链接一般为高仿冒的钓鱼网站，用户输入的所有个人信息，都会同步到攻击者的管理后台。而且用户在点击登陆之后，会自动跳转到正常的的网站，安全意识薄弱的受害人难以察觉。
（2）携带附件的钓鱼邮件。这里携带的附件一般为伪装的病毒，考虑到一般的主机都会装杀毒软件，所以这是比较高级的攻击手段。用户下载附件并点击之后，攻击者就能远程获取用户主机中的各种信息。
（3）要求用户回复个人信息。为了绕过反垃圾中的链接检查和反病毒检查的特殊手段，没有链接，没有附件，要求用户回复个人信息，成功率取决于伪装的发信人是否在受害人的信任关系网中。
5 扩大攻击面
在使用上述的攻击手法，成功获取了几个防守力量相对薄弱的账号密码之后，攻击者一般会尝试登录（登录日志一般能查询到此处的异常IP登录），在获取该账号的基本信息后，以此为跳板，辐射与这个账号同个信任网络的其他账号（包括同域的同事和外域商业伙伴）。扩大攻击面的方式，根据获取账号性质的不同，具有不同的扩大手法：
（1）具有一定管理权限的账号。这里的危险级别定义为高危，攻击者可获取一定的操作权限，并可以利用权限请求一些部门为其获利。
（2）对外联系的账号。利用该账号与外域商业伙伴的信任关系，向其发送钓鱼邮件或BEC商务诈骗邮件。
（3）普通员工账号。普通权限的账号，可利用的角度比较窄小，一般是以此为跳板，尝试性地内发或外发垃圾邮件，看看能不能中奖。
6 攻击收获
作为攻击者，在成功获取了一批权限不一的账号密码之后，一般会根据攻击者本身的性质来决定下一步的动作：
（1）政治性质。此类性质主要集中在一些APT组织中，通过高威胁的持续攻击，获取部分权限后，并不会马上有所动作，潜伏至某一个特殊的时间节点爆发。该威胁在彻底爆发前一般难以察觉，威胁程度为高危。
（2）黑产或其他组织。前面提到攻击者是具有攻击成本的，所以大多数的攻击为上述的低成本且高效的攻击方式。在成功获取到一批权限不一的账号之后，以利益为主要目的的黑产或其他组织，都会马上作为跳板，企图获取真实的利益。此类的威胁中招后会马上爆发，受灾程度取决于被害者的安全意识与单位的反应速度，一旦出现一例，就是巨额的财产损失，威胁程度也为高危。
7 攻击总结
让我们来总结以下，作为攻击者，我们喜欢的受害人具有以下的性质：
（1）喜欢使用公司邮箱作为第三方应用的注册账号；
（2）喜欢使用包含个人信息规律的密码；
（3）反钓鱼意识较薄弱；
（4）使用邮件交流时没有验证对方身份的习惯。
我们讨厌的受害人具备的性质：
（1）难以选择攻击目标。没有在第三方应用暴露工作邮箱，邮箱名难以根据一般的规律进行猜测；
（2）难以使用暴力破解。登录密码使用与个人信息有一定差别的强密码，或使用多因子认证；
（3）难以使用普通钓鱼手段进行欺骗。反钓鱼意识较强，有较强的识别钓鱼邮件的手段与习惯。
文章来源：CACTER安全专家
RSS订阅
