关于python:基于Python的邮件快速检测工具

38次阅读

共计 4321 个字符，预计需要花费 11 分钟才能阅读完成。

概要介绍
mmpi，是一款应用 python 实现的开源邮件疾速检测工具库，基于 community 框架设计开发。mmpi 反对对邮件头、邮件注释、邮件附件的解析检测，并输入 json 检测报告。

代码我的项目地址：mmpi

pypi 我的项目地址：pypi

mmpi，邮件疾速检测工具库检测逻辑：

反对解析提取邮件头数据，包含收件人、发件人的姓名和邮箱，邮件主题，邮件发送工夫，以及邮件原始发送 IP。通过检测发件人邮箱和邮件原始发送 IP，实现对邮件头的检测。

反对对邮件注释的解析检测，提取 text 和 html 格局的邮件注释，对 text 邮件注释进行关键字匹配，对 html 邮件注释进行解析剖析检测，实现探针邮件检测、钓鱼邮件检测、垃圾邮件检测等其余检测。

反对对邮件附件等解析检测

ole 文件格式：如 doc、xls 等，提取其中的 vba 宏代码、模板注入链接

zip 文件格式：提取压缩文件列表，统计文件名、文件格式等

rtf 文件格式：解析内嵌 ole 对象等

其余文件格式：如 PE 可执行文件

检测形式包含

根底信息规定检测形式

yara 规定检测形式

实用前提
mmpi 的剖析断定检测前提：邮件系统环境。脱离邮件环境上下文，检测规定的根据就不牢靠了。

应用形式

  1. 装置
$ pip install mmpi

备注：windows 装置 yara-python，点击这里下载

  1. 命令执行
$ mmpi-run $email_path
  1. 疾速开始
from mmpi import mmpi

def main():
    emp = mmpi()
    emp.parse('test.eml')
    report = emp.get_report()
    print(report)

if __name__ == "__main__":
main()
  1. 输入格局
{
    // 固定字段
    "headers": [],
    "body": [],
    "attachments": [],
    "signatures": []
    // 动静字段
    "vba": [],
    "rtf": [],
    ......
}

工具阐明
mmpi 齐全基于 python 开发，应用 python 原生 email、html、zip 库进行解析，基于 oletools 做定制化批改，反对对 office 文档和 rtf 文档的解析，再联合 yara 实现对其余文件的检测。

我的项目代码构造

.
├── mmpi
│   ├── common
│   ├── core
│   ├── data
│   │   ├── signatures
│   │   │   ├── eml
│   │   │   ├── html
│   │   │   ├── ole
│   │   │   ├── other
│   │   │   ├── rtf
│   │   │   └── zip
│   │   ├── white
│   │   └── yara
│   │       ├── exe
│   │       ├── pdf
│   │       └── vba
│   └── processing
└── tests
    └── samples

mmpi/common：根底模块，实现根本流程性能

mmpi/core：外围调度模块，实现插件的加载及相干模块的初始化

mmpi/data：外围检测模块，实现根本检测规定及 yara 检测规定

mmpi/processing：外围解析模块，实现 eml、html、zip 等文件格式的解析

tests：测试模块

检测规定示例阐明

  1. PE 文件假装文档类检测

检测规定：压缩包中文件名以.exe 结尾，并且两头插入 20 个以上空格的

class PEFakeDocument(Signature):
    authors = ["ddvv"]
    sig_type = 'zip'
    name = "pe_fake_document"
    severity = 9
    description = "PE File Fake Document"

    def on_complete(self):
        results = self.get_results()
        for result in results:
            if result.get('type', '') == self.sig_type:
                infos = result.get('value', {}).get('infos', [])
                for info in infos:
                    file_type = info.get('type')
                    file_name = info.get('name')
                    space_count = file_name.count(' ')
                    if 'exe' == file_type and space_count > 20:
                        self.mark(type="zip", tag=self.name, data=info.get('name'))
                        return self.has_marks()
        return None
  1. DLL 劫持检测

检测规定：压缩包中同时存在 exe 和 dll 文件

class DLLHijacking(Signature):
    authors = ["ddvv"]
    sig_type = 'zip'
    name = "dll_hijacking"
    severity = 9
    description = "DLL Hijacking"

    def on_complete(self):
        results = self.get_results()
        for result in results:
            if result.get('type', '') == self.sig_type:
                infos = result.get('value', {}).get('infos', [])
                file_types = [info.get('type') for info in infos]
                if set(['exe', 'dll']).issubset(file_types):
                    self.mark(type="zip", tag=self.name)
                    return self.has_marks()
        return None
  1. RTF 破绽利用检测

检测规定：RTF 文档中存在 OLE 对象，并且 class_name 是 OLE2Link 或者以 equation 结尾

class RTFExploitDetected(Signature):
    authors = ["ddvv"]
    sig_type = 'rtf'
    name = "rtf_exploit_detected"
    severity = 9
    description = "RTF Exploit Detected"

    def on_complete(self):
        results = self.get_results()
        for result in results:
            if result.get('type', '') == self.sig_type:
                infos = result.get('value', {}).get('infos', [])
                for info in infos:
                    if info.get('is_ole', False):
                        class_name = info.get('class_name', '')
                        if class_name == 'OLE2Link' or class_name.lower().startswith('equation'):
                            self.mark(type="rtf", tag=self.name)
                            return self.has_marks()
        return None

后果示例
后果阐明：邮件蕴含破绽利用的 RTF 文档，属于歹意邮件。

包含收发件人信息、主题信息、发送工夫，邮件注释，以及附件信息。

vba 和 rtf 字段为附件检测根本信息。

signatures 字段阐明命中规定。

{
    "headers": [
        {
            "From": [
                {"name": "Mohd Mukhriz Ramli (MLNG/GNE)",
                    "addr": "info@vm1599159.3ssd.had.wf"
                }
            ],
            "To": [
                {"name": "","addr":""}
            ],
            "Subject": "Re: Proforma Invoice",
            "Date": "2020-11-24 12:37:38 UTC+01:00",
            "X-Originating-IP": []}
    ],
    "body": [
        {
            "type": "text",
            "content": "\nDEAR SIR, \n\nPLEASE SIGN THE PROFORMA INVOICE SO THAT I CAN PAY AS SOON AS POSSIBLE.\n\nATTACHED IS THE PROFORMA INVOICE,\n\nPLEASE REPLY QUICKLY, \n\nTHANKS & REGARDS' \n\nRAJASHEKAR \n\n Dubai I Kuwait I Saudi Arabia I India I Egypt \nKuwait: +965 22261501 \nSaudi Arabia: +966 920033029 \nUAE: +971 42431343 \nEmail ID: help@rehlat.co [1]m\n \n\nLinks:\n------\n[1]\nhttps://deref-mail.com/mail/client/OV1N7sILlK8/dereferrer/?redirectUrl=https%3A%2F%2Fe.mail.ru%2Fcompose%2F%3Fmailto%3Dmailto%253ahelp%40rehlat.com"
        }
    ],
    "attachments": [
        {
            "type": "doc",
            "filename": "Proforma Invoice.doc",
            "filesize": 1826535,
            "md5": "558c4aa596b0c4259182253a86b35e8c",
            "sha1": "63982d410879c09ca090a64873bc582fcc7d802b"
        }
    ],
    "vba": [],
    "rtf": [
        {
            "is_ole": true,
            "format_id": 2,
            "format_type": "Embedded",
            "class_name": "EQUATion.3",
            "data_size": 912305,
            "md5": "a5cee525de80eb537cfea247271ad714"
        }
    ],
    "signatures": [
        {
            "name": "rtf_suspicious_detected",
            "description": "RTF Suspicious Detected",
            "severity": 3,
            "marks": [
                {
                    "type": "rtf",
                    "tag": "rtf_suspicious_detected"
                }
            ],
            "markcount": 1
        },
        {
            "name": "rtf_exploit_detected",
            "description": "RTF Exploit Detected",
            "severity": 9,
            "marks": [
                {
                    "type": "rtf",
                    "tag": "rtf_exploit_detected"
                }
            ],
            "markcount": 1
        }
    ]
}

以上就是本次分享的全部内容，当初想要学习编程的小伙伴欢送关注 Python 技术大本营，获取更多技能与教程。

正文完
python
发表至： python
2022-04-08
 0
关于python:django基础到高手知识笔记总结50页笔记共10大模块
关于python:微信好友数据分析并可视化
关于python:深入理解-PYTHON-虚拟机浮点数FLOAT的实现原理及源码剖析
关于python:fastapi-中的-schemas-和-models-的区别