POP3 邮件渗透测试方法论，针对 110（明文）与 995（SSL/TLS）端口。该 Skill 的核心是一棵从端口发现到漏洞利用的分阶段决策树，可按序执行，也可按目标情况切入对应阶段。
一、用途与触发条件 当 Agent 扫描发现 110 或 995 端口开放、需要测试邮件服务认证强度、枚举邮件内容、或利用 POP3 服务漏洞时，触发此 Skill。
二、整体决策树 发现 110/995 端口开放 ├─ Phase 1: 服务发现 │ ├─ Banner 抓取 -> 识别邮件服务软件与版本 │ ├─ 110 (明文) vs 995 (SSL/TLS) │ └─ Nmap 脚本 -> 能力枚举 / NTLM 信息泄露 ├─ Phase 2: Banner 信息分析 │ ├─ 邮件服务器类型 (Dovecot / Exchange / JAMES / Zimbra) │ ├─ NTLM 信息 -> Windows 版本、域名、主机名 │ └─ CAPA 命令 -> 支持的功能列表 ├─ Phase 3: 凭据爆破 │ ├─ hydra / medusa / ncrack │ ├─ Metasploit pop3_login │ └─ 默认凭据 / 弱密码 ├─ Phase 4: 邮件提取 │ ├─ 登录后列出邮件 (LIST / STAT) │ ├─ 下载邮件内容 (RETR) │ ├─ 搜索敏感信息 (凭据、VPN 配置、内部链接) │ └─ TOP 命令预览邮件头 └─ Phase 5: 已知漏洞 ├─ 服务器特定 CVE ├─ 密码日志泄露 (auth_debug_passwords) └─ searchsploit <pop3_server> <version>
三、各阶段主要内容
Phase 1 服务发现：
- Banner 抓取：明文 POP3 (110) 使用 nc -nv <IP> 110；SSL/TLS POP3 (995) 使用 openssl s_client -connect <IP>:995 -crlf -quiet。
- Nmap 枚举：nmap --script "pop3-capabilities or pop3-ntlm-info" -sV -p 110 <IP>，其中 pop3-ntlm-info 脚本可泄露 Windows 版本等敏感信息。
- Metasploit 版本探测：msfconsole -q -x 'use auxiliary/scanner/pop3/pop3_version; set RHOSTS <IP>; set RPORT 110; run; exit'。
Phase 2 Banner 信息分析：
- 连接后发送 CAPA 获取服务能力，返回支持的扩展（如 STLS、SASL、PIPELINING）。
- Banner 分析决策树：识别邮件服务器类型（Dovecot 对应 Linux 邮件服务器、Microsoft Exchange 对应 Windows 域环境、JAMES 对应 Java 邮件服务器、Zimbra 对应 Web 邮件套件）；NTLM 信息泄露（Exchange 场景）可得到 Windows 版本、域名、主机名；STLS 支持情况决定是否可升级到 TLS（STARTTLS），不支持则明文传输存在嗅探风险。
Phase 3 凭据爆破：
- 工具命令：hydra -l <username> -P <password_list> -f <IP> pop3 -V；hydra -l <username> -P <password_list> -f <IP> -s 995 pop3s -V；medusa -h <IP> -u <username> -P <password_list> -M pop3；ncrack -p 110 --user <username> -P <password_list> <IP>。
- 凭据来源决策树：已知用户名（从 SMTP VRFY / LDAP / Web 枚举获得）可进行密码爆破或密码喷洒（单密码多用户）；邮箱格式推断（企业邮箱如 first.last@domain.com）用于构造用户名列表；默认凭据如 admin / test / user 配合常见弱密码。
Phase 4 邮件提取：
- POP3 命令操作：USER <username> 登录、PASS <password> 验证；STAT 查看邮箱状态（邮件数量和总大小）；LIST 列出所有邮件（编号和大小）；TOP <msg_number> 0 预览邮件头（不下载全部）；RETR <msg_number> 下载完整邮件；DELE <msg_number> 标记删除；RSET 取消删除；QUIT 退出。
- 邮件内容分析关注：密码/凭据（明文密码、密码重置邮件、VPN/SSH 配置文件、API Key/Token）、内部信息（内网 IP/主机名、内部系统 URL、组织架构信息）、附件（可能含宏的文档、配置文件）、社会工程素材（邮件模板/签名格式，用于钓鱼攻击）。
- 命令示例：telnet <IP> 110 后依次发送 USER、PASS、LIST、RETR 等命令查看返回。
Phase 5 已知漏洞：
- 漏洞检测决策树：Dovecot 用 searchsploit dovecot；Microsoft Exchange 涉及 ProxyLogon / ProxyShell 系列（通过 HTTP 入口）；JAMES 2.x 涉及默认凭据 + RCE；Zimbra 涉及 CVE-2022-27925 / CVE-2022-37042 等；通用则 searchsploit pop3。
- 密码日志泄露：某些 POP 服务器启用 auth_debug 配置会增加日志；如果 auth_debug_passwords 或 auth_verbose_passwords 设为 true，密码可能以明文记录在日志中。获取服务器文件系统访问后，检查日志文件是否包含明文密码。
四、深入参考 POP3 命令语法、邮件提取脚本、NTLM 信息泄露详情见 references/pop-techniques.md。
五、限制 资料未提供该 Skill 的安装命令、授权范围、目标平台要求、收费与价格信息，暂未提供；亦未提供其他未列出的功能或效果说明。