hacktricks/network-services-pentesting/pentesting-imap.md

# 143,993 - Pentesting IMAP

<details>

<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>

- Você trabalha em uma **empresa de segurança cibernética**? Você quer ver sua **empresa anunciada no HackTricks**? ou você quer ter acesso à **última versão do PEASS ou baixar o HackTricks em PDF**? Verifique os [**PLANOS DE ASSINATURA**](https://github.com/sponsors/carlospolop)!

- Descubra [**A Família PEASS**](https://opensea.io/collection/the-peass-family), nossa coleção exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)

- Adquira o [**swag oficial do PEASS & HackTricks**](https://peass.creator-spring.com)

- **Junte-se ao** [**💬**](https://emojipedia.org/speech-balloon/) [**grupo Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo telegram**](https://t.me/peass) ou **siga-me** no **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**

- **Compartilhe seus truques de hacking enviando PRs para o [repositório hacktricks](https://github.com/carlospolop/hacktricks) e [repositório hacktricks-cloud](https://github.com/carlospolop/hacktricks-cloud)**.

</details>

<figure><img src="/.gitbook/assets/image (675).png" alt=""><figcaption></figcaption></figure>

Encontre vulnerabilidades que são mais importantes para que você possa corrigi-las mais rapidamente. O Intruder rastreia sua superfície de ataque, executa varreduras proativas de ameaças, encontra problemas em toda a sua pilha de tecnologia, desde APIs até aplicativos da web e sistemas em nuvem. [**Experimente gratuitamente**](https://www.intruder.io/?utm\_source=referral\&utm\_campaign=hacktricks) hoje.

{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}

***

## Protocolo de Acesso à Mensagem da Internet

Como o nome sugere, o IMAP permite que você **acesse suas mensagens de e-mail onde quer que esteja**; na maioria das vezes, é acessado via Internet. Basicamente, as **mensagens de e-mail são armazenadas em servidores**. Sempre que você verifica sua caixa de entrada, seu cliente de e-mail entra em contato com o servidor para conectá-lo às suas mensagens. Quando você lê uma mensagem de e-mail usando o IMAP, **você não está realmente baixando** ou armazenando-a em seu computador; em vez disso, você está **lendo-a no servidor**. Como resultado, é possível verificar seu e-mail em **vários dispositivos diferentes** sem perder nada.

Por padrão, o protocolo IMAP funciona em duas portas:

* **Porta 143** - esta é a porta IMAP não criptografada padrão
* **Porta 993** - esta é a porta que você precisa usar se quiser se conectar usando o IMAP de forma segura
```
PORT    STATE SERVICE REASON
143/tcp open  imap    syn-ack
```
## Banner grabbing

O banner grabbing é uma técnica comumente usada durante o pentesting para obter informações sobre um serviço de rede específico. Ele envolve a coleta do "banner" ou cabeçalho de resposta do serviço, que geralmente contém informações sobre a versão do software, sistema operacional e outras informações relevantes.

O objetivo do banner grabbing é identificar vulnerabilidades conhecidas ou explorar informações específicas do serviço para facilitar ataques subsequentes. Essas informações podem ser usadas para identificar versões desatualizadas do software, procurar por exploits conhecidos ou até mesmo identificar serviços mal configurados.

Existem várias ferramentas disponíveis para realizar o banner grabbing, como o Telnet, o Netcat e o Nmap. Essas ferramentas permitem que os pentesters se conectem ao serviço de rede e obtenham o banner de resposta.

É importante ressaltar que o banner grabbing deve ser realizado com cuidado e dentro dos limites legais. Os pentesters devem obter permissão prévia para realizar essas atividades e seguir as diretrizes éticas estabelecidas.
```bash
nc -nv <IP> 143
openssl s_client -connect <IP>:993 -quiet
```
### NTLM Auth - Divulgação de informações

Se o servidor suportar autenticação NTLM (Windows), você pode obter informações sensíveis (versões):
```
root@kali: telnet example.com 143
* OK The Microsoft Exchange IMAP4 service is ready.
>> a1 AUTHENTICATE NTLM
+
>> TlRMTVNTUAABAAAAB4IIAAAAAAAAAAAAAAAAAAAAAAA=
+ TlRMTVNTUAACAAAACgAKADgAAAAFgooCBqqVKFrKPCMAAAAAAAAAAEgASABCAAAABgOAJQAAAA9JAEkAUwAwADEAAgAKAEkASQBTADAAMQABAAoASQBJAFMAMAAxAAQACgBJAEkAUwAwADEAAwAKAEkASQBTADAAMQAHAAgAHwMI0VPy1QEAAAAA
```
Ou **automatize** isso com o plugin **nmap** `imap-ntlm-info.nse`

### [Bruteforce IMAP](../generic-methodologies-and-resources/brute-force.md#imap)

## Sintaxe
```
Login
A1 LOGIN username password
Values can be quoted to enclose spaces and special characters. A " must then be escape with a \
A1 LOGIN "username" "password"

List Folders/Mailboxes
A1 LIST "" *
A1 LIST INBOX *
A1 LIST "Archive" *

Create new Folder/Mailbox
A1 CREATE INBOX.Archive.2012
A1 CREATE "To Read"

Delete Folder/Mailbox
A1 DELETE INBOX.Archive.2012
A1 DELETE "To Read"

Rename Folder/Mailbox
A1 RENAME "INBOX.One" "INBOX.Two"

List Subscribed Mailboxes
A1 LSUB "" *

Status of Mailbox (There are more flags than the ones listed)
A1 STATUS INBOX (MESSAGES UNSEEN RECENT)

Select a mailbox
A1 SELECT INBOX

List messages
A1 FETCH 1:* (FLAGS)
A1 UID FETCH 1:* (FLAGS)

Retrieve Message Content
A1 FETCH 2 body[text]
A1 FETCH 2 all
A1 UID FETCH 102 (UID RFC822.SIZE BODY.PEEK[])

Close Mailbox
A1 CLOSE

Logout
A1 LOGOUT
```
### Evolução

IMAP is a widely used protocol for accessing email. It allows users to retrieve and manage their email messages on a remote mail server. IMAP operates on port 143 by default.

IMAP is a complex protocol with many features and capabilities. As a result, it can be a rich target for security vulnerabilities. In this section, we will explore some common security issues and techniques for testing the security of IMAP implementations.

#### IMAP Basics

IMAP stands for Internet Message Access Protocol. It was designed as an alternative to the older POP (Post Office Protocol) for retrieving email. Unlike POP, which downloads email to the client device and deletes it from the server, IMAP allows users to access their email messages directly on the server. This means that users can access their email from multiple devices and have a consistent view of their mailbox.

IMAP supports a wide range of operations, including retrieving, searching, and managing email messages. It also supports folder management, allowing users to organize their email into folders and subfolders. IMAP can be used with both plaintext and encrypted connections, depending on the configuration of the server and client.

#### IMAP Security Issues

IMAP implementations can be vulnerable to a variety of security issues, including:

- **Authentication vulnerabilities**: Weak or insecure authentication mechanisms can allow unauthorized access to user accounts.
- **Authorization vulnerabilities**: Improperly configured access controls can allow unauthorized users to access or modify email messages.
- **Data leakage**: Insecure handling of email messages can result in the leakage of sensitive information.
- **Denial of service**: Attackers can exploit vulnerabilities in the IMAP implementation to disrupt or disable the email service.
- **Protocol-level vulnerabilities**: Flaws in the IMAP protocol itself can be exploited to gain unauthorized access or perform other malicious actions.

#### IMAP Pentesting Methodology

When conducting a penetration test of an IMAP service, the following steps can be followed:

1. **Information gathering**: Gather information about the target IMAP server, including its version, configuration, and any known vulnerabilities.
2. **Enumeration**: Enumerate the users and email addresses associated with the target server.
3. **Authentication testing**: Test the authentication mechanisms supported by the server for vulnerabilities, such as weak passwords or insecure authentication methods.
4. **Authorization testing**: Test the access controls implemented by the server to ensure that only authorized users can access or modify email messages.
5. **Data leakage testing**: Test for potential data leakage vulnerabilities, such as insecure handling of email attachments or sensitive information.
6. **Denial of service testing**: Test the server's resilience to denial of service attacks, such as flooding the server with a large number of requests.
7. **Protocol-level testing**: Test the IMAP protocol implementation for vulnerabilities, such as buffer overflows or command injection.

By following this methodology, penetration testers can identify and exploit vulnerabilities in IMAP implementations, helping organizations improve the security of their email systems.
```
apt install evolution
```
![](<../.gitbook/assets/image (528).png>)

### CURL

A navegação básica é possível com o [CURL](https://ec.haxx.se/usingcurl/usingcurl-reademail#imap), mas a documentação é escassa em detalhes, então é recomendado verificar a [fonte](https://github.com/curl/curl/blob/master/lib/imap.c) para obter detalhes precisos.

1. Listando caixas de correio (comando imap `LIST "" "*"`)

```bash
$ curl -k 'imaps://1.2.3.4/' --user user:pass
```

2. Listando mensagens em uma caixa de correio (comando imap `SELECT INBOX` e depois `SEARCH ALL`)

```bash
$ curl -k 'imaps://1.2.3.4/INBOX?ALL' --user user:pass
```

O resultado dessa pesquisa é uma lista de índices de mensagens.

Também é possível fornecer termos de pesquisa mais complexos. Por exemplo, procurando por rascunhos com senha no corpo do e-mail:

```bash
$ curl -k 'imaps://1.2.3.4/Drafts?TEXT password' --user user:pass
```

Uma boa visão geral dos termos de pesquisa possíveis está localizada [aqui](https://www.atmail.com/blog/imap-commands/).

3. Baixando uma mensagem (comando imap `SELECT Drafts` e depois `FETCH 1 BODY[]`)

```bash
$ curl -k 'imaps://1.2.3.4/Drafts;MAILINDEX=1' --user user:pass
```

O índice de e-mail será o mesmo índice retornado pela operação de pesquisa.

Também é possível usar `UID` (identificador único) para acessar mensagens, no entanto, é menos conveniente, pois o comando de pesquisa precisa ser formatado manualmente. Por exemplo,
```bash
$ curl -k 'imaps://1.2.3.4/INBOX' -X 'UID SEARCH ALL' --user user:pass
$ curl -k 'imaps://1.2.3.4/INBOX;UID=1' --user user:pass
```
Também é possível baixar apenas partes de uma mensagem, por exemplo, o assunto e o remetente dos primeiros 5 mensagens (o `-v` é necessário para visualizar o assunto e o remetente):
```bash
$ curl -k 'imaps://1.2.3.4/INBOX' -X 'FETCH 1:5 BODY[HEADER.FIELDS (SUBJECT FROM)]' --user user:pass -v 2>&1 | grep '^<'
```
Embora seja provavelmente mais limpo escrever um pequeno loop for:
```
for m in {1..5}; do
echo $m
curl "imap://1.2.3.4/INBOX;MAILINDEX=$m;SECTION=HEADER.FIELDS%20(SUBJECT%20FROM)" --user user:pass
done
```
## Shodan

* `port:143 CAPABILITY`
* `port:993 CAPABILITY`

## Comandos Automáticos do HackTricks
```
Protocol_Name: IMAP    #Protocol Abbreviation if there is one.
Port_Number:  143,993     #Comma separated if there is more than one.
Protocol_Description: Internet Message Access Protocol         #Protocol Abbreviation Spelled out

Entry_1:
Name: Notes
Description: Notes for WHOIS
Note: |
As its name implies, IMAP allows you to access your email messages wherever you are; much of the time, it is accessed via the Internet. Basically, email messages are stored on servers. Whenever you check your inbox, your email client contacts the server to connect you with your messages. When you read an email message using IMAP, you aren't actually downloading or storing it on your computer; instead, you are reading it off of the server. As a result, it's possible to check your email from several different devices without missing a thing.

https://book.hacktricks.xyz/pentesting/pentesting-imap

Entry_2:
Name: Banner Grab
Description: Banner Grab 143
Command: nc -nv {IP} 143

Entry_3:
Name: Secure Banner Grab
Description: Banner Grab 993
Command: openssl s_client -connect {IP}:993 -quiet

Entry_4:
Name: consolesless mfs enumeration
Description: IMAP enumeration without the need to run msfconsole
Note: sourced from https://github.com/carlospolop/legion
Command: msfconsole -q -x 'use auxiliary/scanner/imap/imap_version; set RHOSTS {IP}; set RPORT 143; run; exit'
```
<figure><img src="/.gitbook/assets/image (675).png" alt=""><figcaption></figcaption></figure>

Encontre as vulnerabilidades que mais importam para que você possa corrigi-las mais rapidamente. O Intruder rastreia sua superfície de ataque, executa varreduras proativas de ameaças, encontra problemas em toda a sua pilha de tecnologia, desde APIs até aplicativos da web e sistemas em nuvem. [**Experimente gratuitamente**](https://www.intruder.io/?utm\_source=referral\&utm\_campaign=hacktricks) hoje.

{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}


<details>

<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>

- Você trabalha em uma **empresa de cibersegurança**? Você quer ver sua **empresa anunciada no HackTricks**? ou você quer ter acesso à **última versão do PEASS ou baixar o HackTricks em PDF**? Verifique os [**PLANOS DE ASSINATURA**](https://github.com/sponsors/carlospolop)!

- Descubra [**A Família PEASS**](https://opensea.io/collection/the-peass-family), nossa coleção exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)

- Adquira o [**swag oficial do PEASS & HackTricks**](https://peass.creator-spring.com)

- **Junte-se ao** [**💬**](https://emojipedia.org/speech-balloon/) [**grupo Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo telegram**](https://t.me/peass) ou **siga-me** no **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**

- **Compartilhe seus truques de hacking enviando PRs para o [repositório hacktricks](https://github.com/carlospolop/hacktricks) e [repositório hacktricks-cloud](https://github.com/carlospolop/hacktricks-cloud)**.

</details>