程序员征服安全：分享与学习系列 - 电子邮件标头注入

如今，网站和应用程序允许用户通过电子邮件发送反馈、预约提醒及其他各类信息已是常态。通常情况下，这一过程相当安全，大多数人甚至从未将其视为潜在的安全风险。

然而，与任何其他允许用户输入的组件一样，如果配置不当，这些看似无关紧要的功能可能会被恶意用户利用，从而达到不可告人的目的。攻击者只需在输入字段中填入代码，若服务器错误地处理了这些代码，电子邮件应用程序就可能瞬间沦为攻击工具。

在本期节目中，我们将学习：

• 攻击者如何触发电子邮件头注入
• 为什么电子邮件头注入很危险
• 修复此漏洞的技术手段。

攻击者如何触发电子邮件头注入？

虽然人们通常不认为电子邮件联系功能是可编程的，但大多数网站或应用程序中的此类功能都可以接受能够改变查询性质的输入。这通常是在用户输入信息（如电子邮件地址）后由服务器自动完成的。程序随后会配置邮件、添加相应的收件人，并使用其默认的电子邮件服务器发送消息。

典型的电子邮件 POST 请求可能如下所示：

POST /contact.php HTTP/1.1
Host: www.example.com

用户输入信息后生成的代码可能如下所示：

name=RealName&replyTo=RealName@ValidServer.com&message=YourAppointmentReminder

当黑客开始在流程中注入代码而非仅仅输入联系信息时，问题便随之而来。这与 SQL 注入攻击类似，只不过是针对电子邮件应用程序的。以下是一个被篡改的查询示例，它会将垃圾邮件从您的应用程序发送给目标用户：

name=FakeName\nbcc: SpammedVictim@TargetAddress.com&replyTo= FakeName@ValidServer.com&message=Spammed message

为什么电子邮件头注入很危险？

根据恶意用户的技术水平和意图，电子邮件头注入攻击的严重程度从令人烦恼到极度危险不等。在严重程度较低的情况下，他们可能将自己的联系信息插入到发送给公司内部秘密或未公开邮箱的邮件抄送（BCC）字段中，从而窃取这些信息。

更令人担忧的是，这可能使他们完全控制您的电子邮件服务器，从而以您的组织名义发送垃圾邮件、钓鱼邮件或其他攻击性邮件。他们无需伪造邮件来源，因为邮件确实是从您的服务器发出的。如果您没有监控此类活动，他们甚至可以实现自动化，利用您的服务器发送成百上千封邮件，且看起来就像是您的组织主动发起的活动一样。

消除电子邮件头注入问题

与 SQL 注入及其他此类攻击一样，消除恶意用户利用电子邮件头漏洞的关键在于永远不要信任用户输入。如果用户能够输入信息，即使看起来只是输入电子邮件地址这样的小事，您也必须做最坏的打算，或者至少要假设最坏的情况是有可能发生的。

应对所有参数执行输入验证，这包括在应用程序或网站中添加电子邮件联系功能时。可以使用白名单来明确启用您认为合法的流程和字段，并拒绝其他所有内容。事实上，大多数框架都提供了相应的库，可用于将功能锁定在仅需的范围内。这样做可以防止服务器识别并处理恶意用户输入的任何代码或命令。

关于电子邮件头注入的更多信息

如需深入了解，您可以查看 OWASP 关于 电子邮件标头注入 的说明。您还可以通过 免费演示 来测试您新掌握的防御知识，Secure Code Warrior 平台致力于将网络安全团队培养成顶尖的网络战士。如需了解更多关于攻克此漏洞及其他各类威胁的信息，请访问 Secure Code Warrior 博客。

准备好立即查找并修复电子邮件注入漏洞了吗？前往平台测试您的技能： [立即开始]