Webmail攻防实战（1）

WebMail是指利用浏览器通过web方式来收发电子邮件的服务或技术，不需借助邮件客户端，能够说只要能上网就能使用WebMail，极大地方便了用户对邮件的收发。对于不能熟练使用邮件客户端，或在网吧不便使用邮件客户端的用户来说，WebMail更是必不可少的选择。Email能够成为当今Internet上应用最广泛的网络服务，WebMail可谓功不可没。

由于用户的使用不当或WebMail系统的研发不周，都有可能给WebMail的使用带来更多的安全威胁。同样，WebMail系统作为当今电子邮件系统的重要组成部份，他的安全性也是不可忽视的。

一、邮件地址欺骗

邮件地址欺骗是很简单和容易的，攻击者针对用户的电子邮件地址，取一个相似的电子邮件名，在WebMail的邮箱配置中将“发件人姓名”配置成和用户相同的发件人姓名（有些WebMail系统没有提供此功能），然后冒充该用户发送电子邮件，在他人收到邮件时，往往不会从邮件地址、邮件信息头等上面做仔细检查，从发件人姓名、邮件内容等上面又看不出异样，误以为真，攻击者从而达到欺骗的目的。例如某用户的电子邮件名是wolfe，攻击者就会取w0lfe、wo1fe、wolfee、woolfe之类相似的电子邮件名来进行欺骗。虽然免费的午餐越来越难吃，但还是有很多用户使用的是免费电子邮箱，通过注册申请，攻击者很容易得到相似的电子邮件地址。

人们通常以为电子邮件的回复地址就是他的发件人地址，其实不然，在RFC822中明确定义了发件人地址和回复地址能够不相同，熟悉电子邮件客户端使用的用户也会明白这一点，在配置帐户属性或撰写邮件时，能够指定和发件人地址不同的回复地址。由于用户在收到某个邮件时，虽然会检查发件人地址是否真实，但在回复时，并不会对回复地址做出仔细的检查，所以，假如配合smtp欺骗使用，发件人地址是要攻击的用户的电子邮件地址，回复地址则是攻击者自已的电子邮件地址，那么这样就会具备更大的欺骗性，诱骗他人将邮件发送到攻击者的电子邮箱中。

所谓害人之心不可有，防人之心不可无，鉴于邮件地址欺骗的易于实现和危险性，我们不得不时时提防，以免上当受骗。对于WebMail系统而言，提供邮件信息头内容检查、smtp认证（假如该邮件系统支持smtp的话）等服务技术，将邮件地址欺骗带来的危害降至最小是很有必要的。对邮件用户而言，认真检查邮件的发件人邮件地址、发件人IP地址、回复地址等邮件信息头内容是很重要的。

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有