Всем привет! Занимаюсь email рассылками, хочу научиться слать c помощью smtp. Поделитесь опытом, ньюансами, какой софт лучше юзать, возможно ли настроить редирект и спуфинг? Возможно кто-то может стать наставником, конечно не за спасибо.
-
XSS.stack #1 – первый литературный журнал от юзеров форума
Рассылки с помощью smtp серверов
- Автор темы Netakoi
- Дата начала
Посты Аэля - хорошее начало.
https://xss.pro/threads/88806/
https://xss.pro/threads/88806/
Смтп - Симпл маил что то протокол
По сути он включен практический в каждой почте сразу - какие то дают лимит 5 какие то 50 какие то 100
Большинство юзеров берут SMTP сервера предоставляемые под рассылки(маркетинговые) от Amazon - mailgun и подобных сервисов либо их брутят(не знаю как)
Взяв сервер от Амазона у тебя будет лимит условно 50 тысяч писем в месяц и стоимость около доллара или чуть меньше за тысячу отправок - что следует тебе учесть при рассылке в первую очередь с подобных серверов - то что они мониторят один показатель чаще всего и это BOUNCE SCORE (кол-во не доставляемых писем) - берем сервисы по валидации почт и прогоняем свои почты перед отправкой туда спама через валидатор и воуля у тебя есть хороший инструмент под спам с лимитом 50 тысяч со старту - ты отольешь около лимита и тебя загребут за репорты
Маилган и подобие так же можешь рассмотреть и чаще всего их можно купить у селлеров ( все сделки через гаранта так как чаще всего наебывают )
по подмене - ее можно слать практический с любого сервера где нет обязательного DKIM+(DMARK) (может ошибаюсь) а если быть точнее - находим любой Плейс где можно сделать доменную почту - как пример Zoho(http://zoho.com) и подключаешь все кроме ДКИМ(DMARK+) подтверждая все записи и далее летишь в спамер где есть функционально подмена имени отправителя (по типу Ultimate mailer) могу оставить линк но за безопасность файла не могу гарантировать по этому стучим в лс и открываем только на отдельном дедике
Итог
Мы сделали 5 доменных почт на старые домены(что явно добавит траст) и шлем со своих доменок тот лимит который дает слать ZOHO (более сложный вариант самому развернуть доменную почту и слать сколько угодно)
и шлем с них условно 500 писем с подменой в день (с одной) = успех?
По сути он включен практический в каждой почте сразу - какие то дают лимит 5 какие то 50 какие то 100
Большинство юзеров берут SMTP сервера предоставляемые под рассылки(маркетинговые) от Amazon - mailgun и подобных сервисов либо их брутят(не знаю как)
Взяв сервер от Амазона у тебя будет лимит условно 50 тысяч писем в месяц и стоимость около доллара или чуть меньше за тысячу отправок - что следует тебе учесть при рассылке в первую очередь с подобных серверов - то что они мониторят один показатель чаще всего и это BOUNCE SCORE (кол-во не доставляемых писем) - берем сервисы по валидации почт и прогоняем свои почты перед отправкой туда спама через валидатор и воуля у тебя есть хороший инструмент под спам с лимитом 50 тысяч со старту - ты отольешь около лимита и тебя загребут за репорты
Маилган и подобие так же можешь рассмотреть и чаще всего их можно купить у селлеров ( все сделки через гаранта так как чаще всего наебывают )
по подмене - ее можно слать практический с любого сервера где нет обязательного DKIM+(DMARK) (может ошибаюсь) а если быть точнее - находим любой Плейс где можно сделать доменную почту - как пример Zoho(http://zoho.com) и подключаешь все кроме ДКИМ(DMARK+) подтверждая все записи и далее летишь в спамер где есть функционально подмена имени отправителя (по типу Ultimate mailer) могу оставить линк но за безопасность файла не могу гарантировать по этому стучим в лс и открываем только на отдельном дедике
Итог
Мы сделали 5 доменных почт на старые домены(что явно добавит траст) и шлем со своих доменок тот лимит который дает слать ZOHO (более сложный вариант самому развернуть доменную почту и слать сколько угодно)
и шлем с них условно 500 писем с подменой в день (с одной) = успех?
Ссылкой на Ultimate mailer поделишься?
Дабы не плодить новые тему поинтересуюсь тут.
Есть ли смысл при рассылке на корпы (outlook,gmail и другие ,исключая пруфпойнт и ему подобные) брать старые домены на которых ранее крутились сайты, возможно были рассылки(исходя из истории MX записей) и тд, регать их снова и слать с них.Но связка IP+домен будет холодной по сути и один х нужно будет греть.Или это никак не повлияет и траст в основном строится на IP у большинства провайдеров.Рассылка с своих сервов PMTA
Есть ли смысл при рассылке на корпы (outlook,gmail и другие ,исключая пруфпойнт и ему подобные) брать старые домены на которых ранее крутились сайты, возможно были рассылки(исходя из истории MX записей) и тд, регать их снова и слать с них.Но связка IP+домен будет холодной по сути и один х нужно будет греть.Или это никак не повлияет и траст в основном строится на IP у большинства провайдеров.Рассылка с своих сервов PMTA
Как показала практика даже с белых доменов будет инбокс при правильном подходе - тут строится репутация за счет домен+ип но если использовать прокси и часто сменные ипы то какая репутация будет на айпишнике? всегда новая - не думаю что это дает какую либо привязку и глупо было бы гмаилу сделать так что из-за одного айпишника будет сильно меняться траст фактор - получается от айпишника и не зависит нечего.
По этому бери старые домены - чекай мх и чеках их на все возможные блок листы(ребята кто знает сайт который чекает именно на спам листы продублируйте тут линк) - чакаешь и полетел.
Можно даже сделать умнее - взять сетку своих доменов и пробовать с 0 их греть (видел даже есть софты куда грузишь свои оутлуки гмаилы и др которые читают письма + отвечают + кидают репорт) тем самым обогащая твой домен "репутацией" но думаю все можно сделать проще залазя на аукцион (к примеру namecheap a) и сканируя просто сайты на трафик по прямому ключу на записи которые ранее были на домене и тд.
У меня кстати вопрос к студии такой - у меня есть около 800 доменов .com - .org и др может кто подскажет как массово в пару кликов превратить просто домены в корпы? есть ли мыла по типу ZOHO которые можно скриптово поднять автоматически и сменив везде NS подключить их к доменке? либо же коды для панели которую у себя замостить можно на vps - и проксировать чтобы порты все открыты были и тем самым допиля модуль хранить удобно мыла + спамить с них? (или же фантазия заиграла слишком яркими красками) - за ответ готов заплатить.
Привяжы домены к NS провайдеру который предоставляет Cpanel для работы с доменами, в Cpanel есть API для добавления доменов, удаления/редактирования записей.Потом накатить Roundcube+EXIM+POSTFIX везде .Получится хоть через веб хоть через SMTP слать.Все инсталлеры можно через chatptp сделать, или могу готовые скинуть есть под CentOs8
я тоже был бы рад получить инсталлеры)
Пробовал разные методы , отправки с использованием web driver (писал на selenium) - показали себя не плохо . Хотя скорость даже при использовании 16 аккаунтов одновременно очень низкая . На 500 писем понадобилось примерно 13 минут .
Сейчас пишу свой Mailer , который использует SMTP .
Прошёл с командой через много тестов , основная проблема - inbox .
На мелких отправках до 500-1000 писем - всё отлично . Не советую использовать малое кол-во smtp серверов . После каждой отправки меняй сервера . Присутствуют лимиты на отправку в минуту/ день (gmail - 500 писем ) .
Сейчас пытаемся решить проблему с inbox с помощью уникализации каждого письма . Используем AI для генерации , dynamic content и много чего другого . Если в твоём письме присутствуют картинки - используй AWS сервера для хостинга , траст повышается . Не используй pixel trackers , высокий шанс получения спам флага . Пытайся макисмально рандомизировать контент .
Последнее редактирование:
Учти что сейчас почтовые системы умеют детектить
можешь свой сгенерированыей текст проверить через https://gptzero.me или подобные
Пиши в лс - помогу с этим - там делов на 20 минут.
Мы генерируем с помощью ИИ subjects и sender names . Тексты мы просто перефразируем или пишем уникальные . В основном , текста у нас не попадают в спам , за частую - subjects , sender names .
очень интересен ваш опыт в сфере применения ИИ для генерации subjects и sender names, а так же текстов.
используете ли вы стороннее решение, типа OpenAI, или же у вас своя нейронка в продакшене, на основе какой-либо
популярном модели? если не захотите освещать прилюдно, то не откажусь пообщаться в pm. заранее благодарю.
Пишите если откажется человек выше - там все легче простого помогу там делов 5 минут.
ок, поскольку человек выше пока не отвечает, я готов выслушать Ваш личный опыт и советы!
либо тут, либо в личных, как удобно.
Да, если есть советы и можешь ими поделиться, то конечно лучше тут. Всем, думаю, будет полезно узнать, что-то новое.
Включаем мозг и используем более проф софты по типу AMS enterprice(извиняюсь если не правильно)
Там есть хорошая штука называется random subj где можно вставлять разные сингулярки начиная от тянущегося имени из вашего cvs листа если там они есть заканчивая рандом цифрами и тд (я обычно через чат гпт себе делаю 100 сабджей под свой темат и не парюсь)
Письмо? я делаю из 4-8 составляющих в каждом из которых 100 рандомных предлогов и тд как пример
Приветствие - 100 разных штук
1 предложение - 100 разных штук
и собираете как конструктор свое письмо и оно у вас при хорошей сборке будет иметь более 100кк вариаций что способствует тому что у вас не будет никогда такова что у вас 1 письмо будет доставляться 1000 людям - у вас каждый новый юзер будет получать разное письмо и если вы будете спамить не с бигов а к примеру с Amazon ses - то это даст колоссальный прирост к вашему инбоксу.
Если есть еще вопросы - задавайте тут и отвечу так же тут.
Хмм ... нисколько не троллю, но неужели это работает? Просто обычно это решается иначе, Ambiguous-replay Attacks в отправщике выглядит как то, это можно сказать база и все кто с этим работают, отсюда начали:
Код:
DKIM-Signature: v=1; a=rsa-sha256; q=dns/txt; c=simple/relaxed; s=default; d=service.discover.com; h=From:Sender:To:Subject; l=200; bh=z61ep91pq...; b=aPg+UnM+wYY7T784XRM+bQ...
From: Discover Card <discover@service.discover.com> To: victim@victim.com
To: any@any.com
Message-ID: <1518338104553@discoverfinancial.com> Subject: Action required: Your account is suspended! Subject: Your statement is available online
Content-Type: multipart/mixed; boundary=BAD Content-Type: text/plain; charset=UTF-8
Dear customer, Your bank statement is available onlineНеужели так примитивно и просто, тоже удаётся подменить?
И второй вопрос, если на первый вопрос, ответ определенно утвердительный. Откуда рассылать, чтоб работало и куда? С web, приложения, мобильных или как? И кто такую подмену точно принимает из сервисов? (gmail,mail, ...)
Добавлю, дело в том, что zoho уже был "замечен" в неоднозначности, вот хотел поинтересоваться у тех, кто работал с ним плотно
Vulnerability of the tested email providers and MUAs to UI-mismatch attacks.
Servers | interface | Outlook | eM Client | Thunderbird | Gmail | Outlook | Gmail | |||
Gmail.com | C | C | C | | C | C | ||||
iCloud.com | C | C | | C | | | ||||
Outlook.com | C | | | C | | | ||||
Yahoo.com | C | | | | | C | ||||
Naver.com | C | C | C | C | C | C | C | C | C | C |
Fastmail.com | C | C | C | | C | C | ||||
Zoho.com | | C | C | C | | C | C | |||
Tutanota.com | C | — | — | — | — | — | — | — | — | — |
Protonmail.com | C | — | — | — | — | — | — | — | — | — |
“✓”: email server and MUA combination where we can expose an inconsistent interpretation. “—”: email providers that don’t support third-party MUAs for our testing account.
Последнее редактирование:
благодарю за инфу и что поделились.
да, это всё понятно, очень интересно, но старо как мир.
наверное начинающим зайдёт, но я ничего нового для себя не открыл,
но и на том спасибо. что касается AMS Ent., так там есть полноценная генерация тела письма
с использованием ключей OpenAI - вот это реально полезно и это уникальный функционал, а не вот это вот всё, со 100 сабжей))
я по опыту скажу, что подобное легко детектится фильтрами. и даже более того, если вы используете такой белый сервис,
как Amazon SES, заточенный под белую рассылку со своего домена,
то просто проанализируйте, было ли так, что бы вам по белой базе приходили письма с обфускацией и рандомизацией?
это за рамками стандарта и уже является триггером. потому что через белое всегда шлётся именно статическое письмо.
а если делать так, как вы предлагаете, такая рассылка на 100% сделает только хуже. я это знаю по опыту. + аккаунт амазона сразу отлетает в песочницу. а задача что бы он жил и не болел)
ага, работает)) на папку спам зайдёт мелким почтовикам с криво настроенным антиспамом, максимум. биги такое не пропускают. за гмейл забудьте. аутлук будет в лучшем случае спаме, и то если очень сильно изголиться, но и то не факт. как таковая подмена - это миф. её можно реализовать только если вы найдёте уязвимость в конкретном почтовом сервисе, или сможете дким расшифровать и подписать им письмо, как это озвучено в соседней теме, но и это не будет работать на широкую аудиторию. да оно и не должно, как бы, ибо воцарится в сети полный бардак и хаос))