漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-039485
漏洞标题：网易邮箱伪造发件人地址可被钓鱼利用
相关厂商：网易
漏洞作者： Evi1c0de
提交时间：2013-10-12 15:21
修复时间：2013-10-12 18:44
公开时间：2013-10-12 18:44
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：10
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-10-12： 细节已通知厂商并且等待厂商处理中
2013-10-12： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
网易邮箱服务器允许源地址欺骗，可任意伪造邮箱地址进行钓鱼攻击。
详细说明：
网易邮箱对smtp信息的检查存在问题，可以伪造任何邮箱发送到网易邮箱，网易邮箱没有进行过滤。
可以用在线伪造邮件网站进行钓鱼攻击，例如 www.deadfake.com/Send.aspx
漏洞证明：
修复方案：
你们懂的
版权声明：转载请注明来源 Evi1c0de@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-10-12 18:44
厂商回复：
该反馈情况属于发件人地址伪造。
1、针对这种常见的垃圾邮件问题，网易邮箱有完善的邮件来源地址检查机制,包括使用spf，dkim，dmarc等技术对邮件做来源合法性检查。
2、在乌云提到的案例中，qq.com域设置的spf策略为软失败，根据spf协议，并没有要求强制拒收该类邮件。
根据网易邮箱测试，国内外几家大型的邮件运营商在处理该情况时各自采取了不同策略，QQmail对spf软失败投递在收件箱，gmail、Hotmail则投递到垃圾箱。 考虑到误判的可能性，基本都没有采取直接拒收的处理方式。
3、根据网易邮箱之前收到的用户反馈情况，加上存在部分系统管理员在设置spf时可能出现的误配置情况，网易邮箱对于spf软失败的情况同样没有采取直接拒收的策略。
4、在上述案例中，如果邮件中确实包含有其他的钓鱼或不良信息，网易邮箱还会有进一步的内容智能检查，来判断是否为钓鱼诈骗类邮件。
感谢乌云给予的反馈，后续网易邮箱会参考业界的通行做法，对这类情况进行持续优化。
最新状态：
暂无