伪造发件人邮件地址（06年老文）

Author：lake2, 2006-08-30 07:48, 伪造发件人邮件地址

这篇文章完全没技术含量L

记得若干年前第一次看《黑客X档案》的时候，有篇名为《社会工程学破解Email》的文章，就是利用邮件冒充管理员里骗取用户密码。当时真的太菜，居然真的照着书上一个一个字符的去打HTML……呵呵，心酸往事不提。

言归正传，发匿名邮件完全有益身心健康的，比如剑心那小子老是剥削我，我心里不爽就发邮件骂他，为了不让他知道我是谁就伪造一个邮件地址咯，再狠点，嗯，邮件地址就写成他老婆的，然后一边呆着看他们吵架（嘿嘿，好狠毒啊）。

基于此，写了一个利用Jmail组件发匿名邮件的ASP代码，前提是你的SMTP服务器没有验证发件人地址才是，很多虚拟主机的SMTP服务器就可以的。

代码如下：

<meta http-equiv="Content-Type" content="text/html; charset=gb2312">

<%if request("action")="send" then%>
<%
Dim strSubject,strEmail,strMailAdress,strSender,strContent,strFromer
strSubject = Request("title")
strContent = Request("content")
strSender = Request("Name")
strEmail = Request("to")
strMailAddress = Request("smtp")
strMailUser = Request("usr")
strMailPass = Request("pwd")

Set JMail = Server.CreateObject("JMail.Message")
JMail.Charset = "gb2312"
JMail.From = Request("From")
JMail.FromName = strSender
JMail.Subject =strSubject
JMail.MailServerUserName = strMailUser
JMail.MailServerPassword = strMailPass
JMail.Priority = 3
JMail.AddRecipient(strEmail)
JMail.Body = strContent
JMail.Send(strMailAddress)
%>
<Script>
alert('没报错就可能成功啦！');
</Script>
<%
else
%>
<style type="text/css">
<!--
body { margin-top: 0px;margin-bottom: 0px;}td {
font-size: 12px;
text-decoration: none;}--></style>
<title>JMailSpoof v0.1</title><table width="500" border="0" align="center" cellpadding="1" cellspacing="1" bgcolor="#666666">
<tr><td height="40" bgcolor="#E3E3E3"><div align="center">JMailSpoof by lake2</div></td></tr>
<tr><td><table width="100%" height="392" border="0" align="center" cellpadding="1" cellspacing="1">
<form name="form" method="post" action="?action=send">
<tr bgcolor="#FFFFFF">
<td align="center"><div align="left">SMTP服务器*</div></td>
<td><input name="smtp" type="text" id="smtp" size="22"></td>
</tr>
<tr bgcolor="#FFFFFF">
<td align="center"><div align="left">用户名*</div></td>
<td><input name="usr" type="text" id="usr" size="22"></td>
</tr>
<tr bgcolor="#FFFFFF">
<td align="center"><div align="left">密码*</div></td>
<td><input name="pwd" type="text" id="pwd" size="22"></td>
</tr>
<tr bgcolor="#FFFFFF">
<td align="center"><div align="left">收件人邮箱*</div></td>
<td><input name="to" type="text" id="to" size="22"></td>
</tr>
<tr bgcolor="#FFFFFF">
<td align="center"><div align="left">发件人邮箱*</div></td>
<td><input name="from" type="text" id="from" size="22">
</td>
</tr>
<tr bgcolor="#FFFFFF">
<td width="110" align="center"><div align="left">邮件主题*</div></td>
<td width="288"><input name="title" type="text" id="title" size="22">

</td>
</tr>
<tr bgcolor="#FFFFFF">
<td height="15" align="center"><div align="left">发件人姓名*</div></td>
<td>
<input name="name" type="text" id="name" size="22"></td>
</tr>
<tr bgcolor="#FFFFFF">
<td height="213" align="center"><div align="left">内容：*<br>
</div></td>
<td><textarea name="content" cols="50" rows="15"></textarea></td>
</tr>
<tr bgcolor="#FFFFFF">
<td>&nbsp;</td>
<td><input type="submit" name="Submit" value="提交"></td>
</tr>
</form></table></td>
</tr></table>
<%end if%>

试试效果先：

伪造发件人邮件地址

然后去邮箱看看：

伪造发件人邮件地址

呵呵，我们伪造了邮件地址，但是可以通过查看邮件头发现是邮件伪造的。

这就是传说中的社会工程学啦，用得好的话危害就大咯。

相关讨论：

9楼 zj_13924 2010-02-25 21:04

“当时真的太菜，居然真的照着书上一个一个字符的去打HTML……”

天啊，和我的经历惊人的相似，而且看的居然是同一篇文章！

8楼 gocker 2007-02-21 21:34

可以借鉴````原来LAKE2也是半道出家啊``！

7楼 syshunter 2007-02-13 12:42

M$有个DNSAPI.DLL，里面有个DnsQuery()可以直接查询给定主机的MX记录，SO有了MX记录，直接发送就行，连用户名和密码都省了。只是怎么过antispam是个问题。

6楼 sfgkwfnh 2006-10-14 16:00

怎么架构以自己的smtp服务器呀？

比如你那服务器叫mail.0x54.org

5楼 tombook 2006-09-01 17:11

hotmail和YAHOO会检测邮件服务器列表

4楼 kuhanzhu 2006-09-01 08:14

哈哈，lake2你老婆的email是……

3楼剑心 2006-08-31 10:36

木关系

我老婆现在也会看邮件地址头了~~~~

HOHO

2楼 OneTwO 2006-08-31 01:29

嘿嘿,去测试一下..

1楼 blog.csdn.net/libao1983 2006-08-30 09:13

这样做的话很多邮箱发送不出去。例如使用率最高的163，126都收不到匿名信件

--------------------------------------------------

狸先生 | 2013-06-13 09:33

这个收下了。。

园长 (你在身边就是缘，缘分写在数据库里面。) | 2013-06-13 09:35

不可信的协议

sky (你好，申通快递) | 2013-06-13 09:40

哈哈我收了

陈再胜 (http://t.qq.com/mibboy求收听) | 2013-06-13 10:01

没被和谐？

CCOz | 2013-06-13 10:16

163 126等收不到邮件，自动过滤掉

gmail在邮件正文中有显著提示，您收到的邮件可能不是该发件人发的

可以应用于一些客户端

Spy4man (linux geek!) | 2013-06-13 10:20

亲，能带附件么?

wanglaojiu (天若有情天亦老人若有情死得早，凶胎又侧漏了) | 2013-06-13 10:52

亲，你是在做匿名发信吗？

none | 2013-06-13 11:05

果然没技术含量我关注的是剑心和他妹子是如何分的呵呵~

only_guest (PKAV-誓与AV抢宅男!) | 2013-06-13 11:11

这是二胡多年轻时候的文章啊。。。来@xsser

我伪造你老婆给你发个短信。

10#

xsser (十根阳具有长短!!) | 2013-06-13 11:22

@only_guest 没老婆了现在你伪造也没用

11#

剑心 (左手叉腰，右手指天。) | 2013-06-13 12:57

@xsser

联系人：老婆

手机号：10086

12#

Airbasic (?????????????????????????) | 2013-06-13 15:26

黑客档案还有卖吗

13#

小胖子 (我是小胖子，我为z7y代言！！) | 2013-06-13 15:45

这个不是有现成的软件么，我都模拟wooyun给我的邮箱发过邮件，都成功了的。

很久之前的事了~~当初还想弄个钓鱼页面来钓钓厂商的~哈哈

留言评论（旧系统）：

佚名 @ 2013-06-15 01:27:27

验证spf记录的邮箱，怎么破？

本站回复：

Google

文章目录