Le Blog du grand loup Zeur » smtp http://blog.gaetan-grigis.eu Le blog qui vous fait connaitre ce que vous savez déjà Tue, 17 Jan 2012 08:43:06 +0000 en hourly 1 http://wordpress.org/?v=3.3.1 Alerte d’ossec en notification sur le bureau http://blog.gaetan-grigis.eu/python-2/alerte-dossec-en-notification-sur-le-bureau/ http://blog.gaetan-grigis.eu/python-2/alerte-dossec-en-notification-sur-le-bureau/#comments Thu, 21 Apr 2011 19:06:02 +0000 Gaëtan http://blog.gaetan-grigis.eu/?p=1046 Aujourd’hui,

Encore un script useless, fait pour passer le temps en cours …

Le but étant d’avoir un IDS ossec sur l’ordi local configuré pour détecter et répondre plus ou moins comme il faut aux attaques basiques et SURTOUT rendre compte à l’utilisateur des problèmes rencontrés de façon orienté ‘desktop’.

A l’heure actuelle seul deux systèmes de notifications (officiels) de l’utilisateur existent sur ossec : soit une notification par mail, soit par twitter (qui ne fonctionne plus).

L’intêret de ce procédé était surtout de plugger snort avec ossec pour détecter des attaques sur le réseau sans avoir à laisser de console sur les logs de l’ids (des p’tits rigolo qui s’amuse sur le réseau de l’école :s).

Histoire de limiter le développement du logiciel, j’ai juste créée un serveur de mail qui via plusieurs regexp chope la règle qui a detecté l’attaque et le sujet du mail pour l’afficher en belle bulle de notification linuxienne.

La règle iptable qui renvoit les paquets du port 25 au port 8025 pour l’interface lo seulement, comme ça on lance le soft avec les droits utilisateurs, on est jamais trop prudent.

  1. /sbin/iptables -t nat -A OUTPUT -o lo -p tcp –dport 25 -j REDIRECT –to-port 8025

Ne pas oublier de modifier le fichier /etc/ossec.conf en mettant l’adresse du serveur smtp a 127.0.0.1, le serveur de mail chopant tout les adresses, on s’en fout donc de l’adresse de destination et d’émission.

IL faut aussi installer les dépendances :

  1. apt-get install python-notify

Une copie du mail est sauvegarder dans le fichier .mails_ossec, histoire de ne pas perdre le mail. (Au pire il est possible de mettre plusieurs adresses mail dans la conf ossec).

Le script à mettre au lancement de la session (Système -> Préférences -> Application au Démarrage) :

  1. #!/usr/bin/env python
  2.  
  3. from smtpd import PureProxy
  4. import asyncore
  5. import asynchat
  6. import smtplib
  7. import re
  8. import sys
  9. import os.path
  10. import pwd
  11. import grp
  12. import pynotify
  13.  
  14. class mySMTP (PureProxy):
  15.     def __init__(self,s):
  16.         PureProxy.__init__(self,s,None)
  17.  
  18.     def process_message (self, peer, mailfrom, rcpttos, data):
  19.      if not pynotify.init("Default Action Test"):
  20.   sys.exit(1)
  21.  
  22.  filout = open('.mails_ossec', 'a')
  23.  filout.write(data)
  24.  filout.close()
  25.  
  26.  title=""
  27.  rule =""
  28.  m = re.search("Subject:(.*)",data,re.I|re.M)
  29.  if m:
  30.       title=m.group(1)
  31.  m= None
  32.  m = re.search("(Rule:.*)",data,re.I|re.M)
  33.  if m:
  34.   rule=m.group(1)
  35.  #print data
  36.  if title=="" and rule=="":
  37.   return None
  38.  n = pynotify.Notification(title, rule)
  39.  n.show()
  40.         return None
  41.  
  42. if __name__ == "__main__":
  43.  
  44.     #in case of root : drop rights …
  45.     #but will not be able to access
  46.     #glibnotify … useless
  47.     if os.getuid() == 0:
  48.         running_uid = pwd.getpwnam("nobody")[2]
  49.         running_gid = grp.getgrnam("nogroup")[2]
  50.         os.setgid(running_gid)
  51.         os.setuid(running_uid)
  52. #/sbin/iptables -t nat -A OUTPUT -o lo -p tcp –dport 25 -j REDIRECT –to-port 8025
  53.     serv = mySMTP (("127.0.0.1", 8025))
  54.     try:
  55.         asyncore.loop ()
  56.     except KeyboardInterrupt:
  57.         pass

Histoire de pouvoir tester le script, sans attendre une attaque ou une erreur système :
Le petit script qui envoi un mail type au serveur de mail

  1. #!/bin/bash
  2.  
  3. (
  4.         echo "mail from:frommail"
  5.         sleep 0.5
  6.         echo "rcpt to:tomail"
  7.         sleep 0.5
  8.         echo "data"
  9.         sleep 0.5
  10.         echo "To: <someone@127.0.0.1>
  11. From: OSSEC HIDS <ossecm@kikoo>
  12. Date: Thu, 21 Apr 2011 11:31:40 +0200
  13. Subject: OSSEC Notification – kikoo – Alert level 10
  14.  
  15. OSSEC HIDS Notification.
  16. 2011 Apr 21 11:31:28
  17.  
  18. Received From: kikoo->/var/log/auth.log
  19. Rule: 5401 fired (level 10) -> 'Three failed attempts to run sudo'
  20. Portion of the log(s):
  21.  
  22. Apr 21 11:31:28 kikoo sudo:    kikoo : 3 incorrect password attempts ; TTY=pts/1 ; PWD=/home/kikoo/Documents ; USER=root ; COMMAND=/usr/bin/who"
  23.         sleep 0.5
  24.         echo "."
  25.         sleep 0.5
  26.         echo "QUIT"
  27.    ) | telnet 127.0.0.1 25

Et hop … dès qu’une attaque à lieu, ou un problème apparaît, une notification apparaît dans les secondes qui suivent. ça peut être sympa en lan, avec un bon NIDS, pour découvrir les scripts kiddies.

Articles similaires :

Copyright © 2008-2011 - Gaetan Grigis - blog.gaetan-grigis.eu ]]> http://blog.gaetan-grigis.eu/python-2/alerte-dossec-en-notification-sur-le-bureau/feed/ 0 Envoyer des mails dans le passé http://blog.gaetan-grigis.eu/programmation/envoyer-des-mails-dans-le-passe/ http://blog.gaetan-grigis.eu/programmation/envoyer-des-mails-dans-le-passe/#comments Sat, 20 Mar 2010 15:05:34 +0000 Gaëtan http://blog.gaetan-grigis.eu/?p=762 Plop à tous …

Aujourd’hui, une astuce de « gros noob », le but est d’envoyer un mail à une date passée ou future, genre pour le rendu d’un devoir à 23h59m59s alors qu’on vient de le terminer à 2h42 du mat, tout en sachant que le prof ne le lira pas avant 7 ou 8 heures du mat’ … le truc totalement useless quoi, mais souvent on perd des points pour des trucs de ce genre, … (quoi ?? ça vous est jamais arrivé ?? bande de lèche-*** ….)

Les plus futés sauront qu’en modifiant la date de leur machine, on peut fausser les dates d’envoi (genre en reculant la date de deux jours, la plupart des mailers/logiciels de récupération de mails vont afficher le mail comme étant reçu il y a deux jours …).

Mais nous sommes informaticiens, et ce genre de méthode, c’est pour les noobs … nous on va coder un bon gros serveur SMTP pour envoyer des mails dans le temps xD…

En fait en python, ça consiste en 40 lignes de codes … (et encore … c’est crade comme d’hab ;) ).

L’utilisation du script suivant ce fait comme suit :

  1. ./nomDuScript 'adresse serveur smtp du fai' '25' "date d'envoi"

Ou, si l’on veut rajouter des faux headers (histoire d’expliquer le retard du mails, ou rajouter de faux relais …)

  1. ./nomDuScript 'adresse serveur smtp du fai' '25' "date d'envoi" '/chemin/du/fichier contenant/les/headers'

Un fichier d’exemples de (fake) headers à rajouter :

  1. Received: from [1.3.3.7] (helo=lol.kikoo.rox)
  2.       by leskikoolol.attaqu.ent with esmtp id m4573r-573417-00
  3.       for lolmaster@kikoo.rox; Sat, 20 mar 2010 01:02:03 +0000
  4. Received: from kikoo.lol.rox (kikoo.lol.rox [10.3.3.7])
  5.       by lol.kikoo.rox with ESMTP id f7O1Sci1337
  6.       for lolmaster@kikoo.rox; Sat, 20 Mar 2010 00:00:00 +0000

et l’exemple d’utilisation pour le header en question :

  1. ./nomDuScript 127.0.0.1 25 "Fri, 19 Mar 2010 23:59:58 +0000" headers

Qui permettra de faire croire à votre correspondant ici lolmaster@kikoo.rox :

  • que vous avez envoyé votre mail vendredi 19 mars 2010 à 23h59, par votre machine nommée « kikoo.lol.rox » à l’ip 10.3.3.7
  • que le mail a été reçu à minuit par le serveur smtp à l’ip 1.3.3.7 nommé « lol.kikoo.rox »
  • puis, que le mail a été relayé à 01h02 par le serveur smtp nommé « leskikoolol.attaqu.ent »

Ce qui expliquera au correspondant le temps de latence entre l’envoi du mail et sa réception. (Faudra bien sûr changer les infos pour coller à la réalité ^^)

Le script, qui créé un serveur SMTP sur le port 8025 (il faudra configurer votre client mail pour utiliser le serveur SMTP 127.0.0.1 sur le port 8025) :

#!/usr/bin/env python
  1.  
  2. from smtpd import PureProxy
  3. import asyncore
  4. import asynchat
  5. import smtplib
  6. import re
  7. import sys
  8.  
  9. class mySMTP (PureProxy):
  10.     def __init__(self,s,n,d,f=""):
  11.         self.date = d
  12.  self.serv = n
  13.  self.fich = f
  14.         PureProxy.__init__(self,s,None)
  15.  
  16.     def process_message (self, peer, mailfrom, rcpttos, data):
  17.  p = re.compile("Date: .*")
  18.  data = p.sub("Date: "+self.date,data)
  19.  if self.fich !="":
  20.             f = open(self.fich,'r')
  21.      t = f.read(1024)
  22.      f.close()
  23.      data = t + data
  24.      print "Message + header: "+data
  25.  smtpSender = smtplib.SMTP( self.serv[0], self.serv[1] )
  26.  smtpSender.sendmail( mailfrom, rcpttos, data )
  27.  smtpSender.quit()
  28.  return None
  29.  
  30. if __name__ == "__main__":
  31.     if len(sys.argv)<4:
  32.         print "Il manque des arguments : "+sys.argv[0]+" 'serveur smtp','port','date'[, 'fichier header']"
  33.         sys.exit(2)
  34.     if len(sys.argv) == 4:
  35.         serv = mySMTP (("127.0.0.1", 8025), (sys.argv[1],sys.argv[2]),sys.argv[3])
  36.     if len(sys.argv) == 5:
  37.         serv = mySMTP (("127.0.0.1", 8025), (sys.argv[1],sys.argv[2]),sys.argv[3],sys.argv[4])
  38.     try:
  39.         asyncore.loop ()
  40.     except KeyboardInterrupt:
  41.         pass

Amusez-vous bien ;)

Articles similaires :

Copyright © 2008-2011 - Gaetan Grigis - blog.gaetan-grigis.eu ]]> http://blog.gaetan-grigis.eu/programmation/envoyer-des-mails-dans-le-passe/feed/ 0 Checker la validité d’une adresse mail en PHP via SMTP http://blog.gaetan-grigis.eu/programmation/checker-la-validite-dune-adresse-mail-en-php-via-smtp/ http://blog.gaetan-grigis.eu/programmation/checker-la-validite-dune-adresse-mail-en-php-via-smtp/#comments Thu, 03 Dec 2009 18:16:24 +0000 Gaëtan http://blog.gaetan-grigis.eu/?p=627 plopinou …

Il arrive toujours un jour où l’on doit checker la validité d’une adresse mail de façon sûr (plus qu’une simple vérification sur la validité du nom de domaine).
Pour ce faire il faut directement se connecter sur le SMTP du domaine de l’adresse mail via un socket en PHP et envoyer l’adresse mail à checker.

Le petit script :

  1. <?php
  2. /*
  3. Error Code
  4.  -1 not an adress mail
  5.  -2 can't connect to SMTP
  6.  -3 no mx server found
  7.  -4 connection rejected
  8.  -5 our adress has been rejected
  9.  -6 this adress isn't valid
  10.  -7 problem with EHLO command
  11. */
  12. function mailTester($mail)
  13. {
  14.  if(preg_match("#^(.*)@(.*\.[a-z]{2,4})$#i",$mail,$ret))
  15.  {
  16.   $socket = socket_create(AF_INET, SOCK_STREAM, 0);
  17.   getmxrr($ret[2],$r);
  18.   if(count($r)==0)
  19.   {//try to connect directly to the server
  20.    @fsockopen($ret[2],"25",$er1,$er2,0.5); //can't use it with socket :s
  21.    if($er1>0)
  22.     return -3;//no mx server and no smtp server
  23.    $r[0]=$ret[2];
  24.   }
  25.  
  26.   if(!socket_connect($socket,$r[0],"25"))
  27.    return -2;//can't connect
  28.    
  29.   socket_recv($socket,$retour,1024,0);
  30.   $ret=getCodeMsg($retour);
  31.   if($ret[0]!=220)
  32.    return -4;
  33.    
  34.   socket_write($socket,"EHLO google.com\n");
  35.   socket_recv($socket,$retour,1024,0);
  36.   $ret=getCodeMsg($retour);
  37.  
  38.   if($ret[0]!=250)
  39.    return -7;
  40.    
  41.   socket_write($socket,"MAIL FROM: <mailchecker@gmail.com>\n");
  42.   socket_recv($socket,$retour,1024,0);
  43.   $ret=getCodeMsg($retour);
  44.  
  45.   if($ret[0]!=250)
  46.    return -5;
  47.  
  48.   socket_write($socket,"RCPT TO: <".$mail.">\n");
  49.   socket_recv($socket,$retour,1024,0);
  50.   socket_write($socket,"quit\n");//bisou
  51.   $ret =getCodeMsg($retour);
  52.   socket_close($socket);
  53.   if($ret[0]==250)
  54.    return 1;
  55.   else
  56.    return -6;
  57.  }
  58.  return -1;//not an adress mail
  59. }
  60.  
  61. function getCodeMsg($ret)
  62. {
  63.  preg_match("#^([0-9]+) (.*)$#im",$ret,$tab);
  64.  array_shift($tab);
  65.  return $tab;
  66. }
  67. ?>

et hop, c’est tout, y’a pas besoin de plus d’explication en plus je pense, au pire, il y a pas mal de doc sur le procotole SMTP. (Le domaine google.com et l’adresse mailchecker sont des fakes, mais il faut fournir des domaines existants et une adresse mail pour certain serveurs SMTP, google m’a semblé être le bon choix ^^).

Si c’est lent, c’est normal, suivant les serveurs SMTP, la vérification peut prendre entre 5secs et 30secs voir plus, pour des traitements sur des lots de mail (genre des newsletters), il est possible de faire une boucle sur les RCPT TO: pour les adresses mail d’un même domaine, ce qui permet d’utiliser la connexion courrantes et évite d’ouvrir un trop grand nombre de connexion sur le serveur en question.

Articles similaires :

Copyright © 2008-2011 - Gaetan Grigis - blog.gaetan-grigis.eu ]]> http://blog.gaetan-grigis.eu/programmation/checker-la-validite-dune-adresse-mail-en-php-via-smtp/feed/ 2 Configurer un serveur SMTP et cacher sa bannière (Exim4) http://blog.gaetan-grigis.eu/systeme/configurer-un-serveur-smtp-et-cacher-sa-banniere-exim4/ http://blog.gaetan-grigis.eu/systeme/configurer-un-serveur-smtp-et-cacher-sa-banniere-exim4/#comments Sat, 01 Aug 2009 09:46:32 +0000 Gaëtan http://blog.gaetan-grigis.eu/?p=523 Bijour à vous …

Today, la configuration d’un serveur de mail exim4 (le serveur smtp par défaut de Debian … ), à la base je voulais juste m’amuser à filer une astuce pour cacher la bannière du serveur (Il est fufu mon serveur smtp!!! Gaffe au backstab ;) ), et pis, prendre des screenshots, c’est pas compliqué, donc ben vous aurez droits à la version complète du Grand LoupZeur … si c’est pas la lose ça :D . (Mon but est seulement de configurer le smtp, pas de truc anti-spam et …, y’a plein de tutos pour ça)

Sinon, quelques liens sur des tutos d’installation d’exim4 :

Pour l’installation, la démarche à suivre est simple …

apt-get install exim4
dpkg-reconfigure exim4-config

Pour un dédié j’ai choisit la config internet (comme j’ai une ip fixe, je n’ai pas besoin de smarthost):
config-internet
Ensuite, le nom de domaine utilisé :
fqdn-exim4
L’ip sur laquelle on écoute :
ip-exim4
Les domaines pour lesquelles on acceptes les mails (noté la séparation des domaines par :) :
mail-destination-accepte
Les relais que l’on autorise à envoyer des mails (NE JAMAIS AUTORISER TOUT LES DOMAINES, c’est le principal vecteur de spam)
relay-autorise-exim4
et la même choses pour les ip (autorisé les ips local, si vous êtes dans un réseau local).
relay-ip
Les requêtes DNS (pour ma part j’ai mis non comme j’ai un serveur DNS local normalement, ça ne pose pas de problème, à part si le DNS tombe, tous les mails seront mis dans la queue … ça m’est arrivé suite à la « sécurisation » de mon serveur DNS ;) j’ai oublié d’autoriser 127.0.0.1 à faire des requêtes DNS :p ololz le Jean-Kevin!!!! ).
dns-exim4
Le maildir (pour ma part, /var étant plus petit que /home, pour gagner de la place je l’ai mis dans le repertoire utilisateur).
le-maildir
et c’est la fin ^^, on demande le split config, c’est plus simple pour le noob comme moi de comprendre la configuration du soft :
split-config-exim4

Bon donc voilà, l’ennui, c’est que lorsque l’on se connecte en telnet sur le port 25 de mon serveur, exim donne directement le nom du logiciel et sa version (sacrilège!!!).

Après avoir cherché un petit moment … voici l’astuce du Père GG :
Ouvrir le fichier /etc/exim4/conf.d/main/02_exim4-config_options (avec un éditeur plein de charme genre vi ^^).
et modifier les dernières lignes :

MAIN_SMTP_BANNER = "${primary_hostname} ESMTP Exim ${version_number} (Debian package MAIN_PACKAGE_VERSION) ${tod_full}"
smtp_banner = $smtp_active_hostname ESMTP Exim $version_number $tod_full

pour quelles ressemblent à ceci :

MAIN_SMTP_BANNER = "${primary_hostname}"
smtp_banner = $smtp_active_hostname

Et désormais lors de la connexion en telnet à la bête, ça retourne seulement le nom de ma machine (comme c’est le seul truc que les spammeurs/hackers connaissent déjà, on ne lui apprend donc rien) :

kikoo@WillOwnDaWorld:~$ telnet gaetan-grigis.eu 25
Trying mon.ip.a.moi...
Connected to gaetan-grigis.eu.
Escape character is '^]'.
220 r22686.ovh.net
quit
221 r22686.ovh.net closing connection
Connection closed by foreign host.

Et voilà, sinon, pour les petits désagrément, les stats de tentatives d’utilisation de mon serveur en tant que relais publique :
spam-exim4
En rouge, ce sont les mails bloqués qui n’appartiennent pas à mon domaine … je vais peut-être créer une liste d’ip à bannir ^^.

Et c’est la fin … go spam Da Worldz ;)

Articles similaires :

Copyright © 2008-2011 - Gaetan Grigis - blog.gaetan-grigis.eu ]]> http://blog.gaetan-grigis.eu/systeme/configurer-un-serveur-smtp-et-cacher-sa-banniere-exim4/feed/ 0