邮箱和用户篡改测试

邮箱和用户篡改测试

在发送邮件或站内消息时，篡改其中的发件人参数，导致攻击者可以伪造发信人进行 钓鱼攻击等操作，这也是一种平行权限绕过漏洞。用户登录成功后拥有发信权限，开发者 就信任了客户端传来的发件人参数，导致业务安全问题出现

 修复建议

用户登录后写信、发送消息时要通过Session机制判断用户身份。如果需要客户端传 输邮箱、发件人，服务端需要校验邮箱、发件人是否和登录者的身份一致，如发现不一致 则拒绝请求，防止被攻击者篡改用于钓鱼攻击。