email-security – skill Bảo mật cho agent AI
Kiểm tra DMARC/SPF/DKIM, giả mạo email, kiểm thử SMTP và phân tích tiêu đề bảo mật
Cài skill email-security bằng một lệnh
Chọn công cụ bạn đang dùng, copy lệnh và dán vào terminal. Skill sẽ nằm trong thư mục skills của công cụ đó và sẵn sàng dùng ở phiên làm việc tiếp theo.
Claude Code
mkdir -p ~/.claude/skills && curl -fsSL https://skill.dn1nguoi.com/z/email-security-dc993.tgz | tar xz -C ~/.claude/skills
Gọi trong Claude Code: /email-security – rồi mô tả công việc bạn muốn làm.
Codex
mkdir -p ~/.codex/skills && curl -fsSL https://skill.dn1nguoi.com/z/email-security-dc993.tgz | tar xz -C ~/.codex/skills
Gọi trong Codex: $email-security – rồi mô tả công việc bạn muốn làm.
Hermes Agent
mkdir -p ~/.hermes/skills && curl -fsSL https://skill.dn1nguoi.com/z/email-security-dc993.tgz | tar xz -C ~/.hermes/skills
Gọi trong Hermes Agent: /email-security – rồi mô tả công việc bạn muốn làm.
DeepSeek
mkdir -p ~/.deepcode/skills && curl -fsSL https://skill.dn1nguoi.com/z/email-security-dc993.tgz | tar xz -C ~/.deepcode/skills
Gọi trong DeepSeek: /email-security – rồi mô tả công việc bạn muốn làm.
Nội dung SKILL.md
Nội dung SKILL.md gốc bằng tiếng Anh.
Email Security -- DMARC, SPF, DKIM
When to Use
- During passive reconnaissance (Phase 1)
- After initial DNS enumeration
- DMARC p=none means the domain can be totally spoofed
- Critical for identifying phishing/business email compromise risks
DMARC/SPF/DKIM Check Commands
# SPF
dig +short TXT $target | grep "v=spf1"
# DMARC
dig +short TXT _dmarc.$target
# DKIM (common selector: google)
dig +short TXT google._domainkey.$target
# MX
dig +short MX $targetInterpreting Results
| Config | Meaning | Risk |
|--------|---------|------|
| v=spf1 ~all (softfail) | SPF suggests blocking but doesnt enforce | Spoofed emails may pass |
| v=spf1 ?all (neutral) | SPF does nothing | Totally permissive |
| v=spf1 include:amazonses.com ~all | SES can send as domain | Any AWS SES account can spoof |
| v=DMARC1; p=none | DMARC disabled | Zero spoofing protection |
| v=DMARC1; p=quarantine | Failed emails go to spam | Partial protection |
| v=DMARC1; p=reject | Failed emails rejected | Full protection |
| DKIM missing | No cryptographic signature | Email can be forged |
Email Spoofing via SMTP
# Test SMTP relay
timeout 3 bash -c 'exec 3<>/dev/tcp/TARGET/25; head -1 <&3'
# Send spoofed email via open relay (swaks)
swaks --to [email protected] --from [email protected] --server TARGET --body "Spoofed email"Headers That Indicate Security Level
| Header | Value | Meaning |
|--------|-------|---------|
| Authentication-Results | spf=pass | SPF passed |
| Authentication-Results | spf=fail | SPF failed |
| Authentication-Results | dmarc=pass | DMARC passed |
| Authentication-Results | dmarc=fail | DMARC failed |
| Authentication-Results | dkim=pass | DKIM passed |
| Received-SPF | Pass | Sender authorized |
| Received-SPF | Softfail | Sender not fully authorized |
| Received-SPF | Fail | Sender not authorized |
| ARC-Authentication-Results | | Authentication chain |
AWS SES Spoofing (When SPF includes amazonses.com)
With v=spf1 include:amazonses.com ~all:
1. Create AWS account
2. Configure SES with your own domain (verified)
3. Send email with From: [email protected]
4. SPF PASSES (because of include:amazonses.com)
5. DMARC p=none -- provider delivers normally
Real-World Cases
Real-world case (CRITICAL): Political party -- DMARC p=none on both domains (DOMAIN_PLACEHOLDER_A, DOMAIN_PLACEHOLDER_B). SPF with include:amazonses.com (any SES account can send as the domain). Total email spoofing.
Pitfalls
| Issue | Solution |
|-------|----------|
| SPF lookup limit | DNS has 10 lookup limit for SPF includes |
| DKIM selector unknown | Try common selectors: google, selector1, selector2, 2022, 2023 |
| DMARC reporting | rua=mailto: may leak authentication results to third party |
Verification
# Verify email spoofing is possible
# Send test email and check headers:
dig +short TXT _dmarc.target.com
# If p=none -> confirmed spoofableSkill liên quan
- enterprise-vpn-attack – Ma trận tấn công thiết bị VPN SSL bên ngoài / truy cập từ xa — Cisco ASA/AnyConnect…
- ai-engineering-toolkit – Tổng quan sáu quy trình kỹ thuật AI: đánh giá prompt (chấm điểm 8 chiều), lập kế hoạch…
- error-log-mining – Khai thác error_log để tìm thông tin đăng nhập, đường dẫn và SQL khi cuộc săn lộ dữ liệu…
- atlassian-admin – Quản trị viên Atlassian để quản lý và tổ chức các sản phẩm Atlassian (Jira, Confluence…
- firebase-supabase-attack – Khai thác Firebase/Supabase để lấy dữ liệu qua việc thăm dò rò rỉ cấu hình JS.
- ai-security-hardening – Tăng cường bảo mật cho triển khai AI/LLM trước prompt injection, rò rỉ dữ liệu, đánh cắp…
- flask-werkzeug-attack – Khai thác việc lộ debugger của Flask/Werkzeug để rò rỉ traceback và SECRET.
- gitlab-public-recon – Khai thác GitLab để tìm secret và token CI khi đã phát hiện subdomain.