Skip to main content

通过MailChannels漏洞，黑客可以无需鉴权伪造邮件地址据SpamChannel分享，黑客可通过cloudflare worker向MailChannels api发送请求来伪造域名发送邮件

  1. 通过MailChannels漏洞，黑客可以无需鉴权伪造邮件地址

    据SpamChannel分享，黑客可通过cloudflare worker向MailChannels api发送请求来伪造域名发送邮件。造成这一原因主要一点是MailChannels api对所有cloudflare ip进行了加白，不需要在post请求中填入相应的身份验证信息。而MailChannels作为有名的邮件服务商，许多知名企业都有使用。这使得黑客可以通过脚本扫描著名企业的域名txt记录来寻找目标。在github上用于此漏洞的js请求脚本创建于去年，但在今年才被发现。

    演示视频

    https://youtu.be/61PIOBp30vA?si=GNmDqYGTdsVetS_w

    https://youtu.be/eODw4t4WaCw?si=VBfXw4Q-9gadXINB