今天早上通过使用wireshark抓包软件和foxmail客户端以及网页客户端对邮箱登陆的安全性进行测试,测试分为三种环境:
1,http登陆
通过wireshark抓包后,发现在http登录方式中,所有的用户名和密码都是通过明文进行提交,抓包可以非常容易获取用户名和密码,并且通过测试发现,如果在一台机器上登陆以后,服务器会生成一个随机的会话id,即sid,这个时候,用户在任何机器上,只需要输入指定的sid作为参数进行登陆就可以进行任何操作,不需要输入用户名和密码。例如,我在我的windows机器下登陆后,我抓包获取sid号,在Linux服务器上,通过curl工具进行登陆。
代码如下:
curl "mail.cstnet.cn/coremail/XPS/index.jsp?sid=BAqBKBqqkEEywnfqSoqqiDZCeqSNzuor&nodetect=true"
Linux服务器同样可以进行邮件操作,而不需要输入用户名和密码。这在一定程度上存在安全问题,尤其是在被网上黑客截获sid后,效果更佳明显。
2,https登陆
而使用https登陆邮箱时,不存在这样的问题,所有的会话都是加密,通过抓包,不能获取任何内容(至少我现在还不行),彻底解决了邮箱登陆的安全问题。
3,foxmail登陆
和https一样,采用的加密的方式,不能获取用户名和密码。
结论:通过以上分析,我们在使用邮箱时,为了邮箱安全考虑,最好使用https登陆方式,或者在foxmail中选择安全登陆方式,保护重要信息,http这种邮箱现在还是别用了。