IMAP / POP3 Enumeration
IMAP y POP3 son los dos protocolos clásicos de lectura de correo. POP3 solo lista, descarga y borra mensajes; IMAP gestiona el buzón en el servidor con carpetas y sincronización entre clientes. Para un pentester, un servidor de correo propio (en vez de un proveedor externo) es una mina: una mala configuración puede permitir leer correos ajenos, que a menudo contienen credenciales, información interna o el siguiente paso de la cadena.
Mecanismo
Los puertos son 110 (POP3) y 143 (IMAP) en claro, y 995/993 sobre TLS. Un escaneo de versión con scripts revela el software (por ejemplo Dovecot) y sus capacidades:
nmap -sV -sC -p110,143,993,995 <ip>Ambos protocolos son de texto, así que se interactúa a mano. Para IMAP sobre TLS conviene openssl s_client o curl:
openssl s_client -connect <ip>:imaps
curl -k 'imaps://<ip>' --user <user>:<pass>Ya dentro, los comandos de IMAP navegan el buzón (1 LOGIN <user> <pass>, 1 LIST "" * para ver carpetas, 1 SELECT INBOX, 1 FETCH <ID> all para leer un mensaje). En POP3 el flujo es USER <user> / PASS <pass>, LIST para ver cuántos correos hay y RETR <ID> para descargarlos.
Requisitos
La enumeración de puertos y versión no requiere nada; leer correo exige credenciales, salvo configuraciones inseguras. Dovecot, por ejemplo, tiene opciones como auth_anonymous_username (login anónimo tipo FTP) o auth_debug_passwords (registra las contraseñas), que un administrador descuidado puede dejar activas y regalar acceso o credenciales.
Cómo detectarlo
Desde el lado defensivo, delatan un intento de enumeración: muchos LOGIN/USER fallidos desde una misma IP, el uso de autenticación en texto plano sobre 143/110 (en vez de los puertos TLS) y accesos a buzones fuera del patrón habitual de los clientes legítimos. El login anónimo o el volumen anómalo de FETCH/RETR también son señales de recolección de correo.
Defensa. Forzar TLS (deshabilitar los puertos en claro o exigir STARTTLS), desactivar el login anónimo y el logging de contraseñas, aplicar límites de intentos y monitorizar los accesos a buzones. Relacionado con enumeración de usuarios por SMTP, búsqueda de credenciales y reutilización de credenciales.