Foxmail安全性分析

声明：请不要利用本文的任何内容或方法进行破坏，否则由此导致的一切后果自负！

【前言】

前几天收到一封网友的来信，信件的内容没有什么，但是奇怪的是Foxmail提示来信
的时候，还有一个漂亮的小图标，挺有意思的。

开始我还以为又是利用那个**agent搞的玩意，但是仔细一想感觉不是，赶紧翻了一
下Foxmail的帮助，在新增功能中找到了如下内容：

个性图标签名邮件
Foxmail在收信，忽然，一个可爱的小动物跑到了你的屏幕上，您一看就知道是
好朋友来信了。用鼠标轻点，小动物立刻帮你把邮件打开。这就是Foxmail提供的个
性图标签名邮件功能。

的确是不错的功能！：）

由于职业的特点和个人的习惯，我就想看看该功能是不是有什么漏洞！：～

【尝试】

首先，先创建一封个性图标签名邮件，具体步骤为：

1. 账户->属性->账户属性>个人信息>在邮件中使用个性图标（复选）-
>选择图标（选择Foxmail提供的小动画或其他喜欢的.gif格式的小图片或者
动画作为个性签名）->确定

2. 打开写邮件窗口， 你会看到刚才选择的个性图标。填入一些发信的必要信息，比如：
收件人：analysist@notfound.org
主 题：Hi
内 容：Thiz is a test!

3. 保存。

其次，在发件箱中选中该邮件，然后进行如下操作：文件->导出邮件->另保
存->确定。

最后，用UltraEdit打开该邮件，我们可以看到如下内容：

From: analysist <analysist@notfound.org> //发信人
To: analysist@notfound.org <analysist@notfound.org> //收件人
Subject: Hi //主题
X-mailer: FoxMail 4.0 beta 2 [cn] //邮件客户端
Mime-Version: 1.0 //MIME版本
Content-Type: multipart/mixed; //MIME类型
boundary="=====000_Dragon220814422407_=====" //指定分界符

This is a multi-part message in MIME format. //注释？

--=====000_Dragon220814422407_===== //分界符
Content-Type: text/plain; //MIME类型
charset="GB2312" //字符集
Content-Transfer-Encoding: base64 //编码方式

VGhpeiBpcyBhIHRlc3QhDQo= //信件内容，这里就是base64编码后的“Thiz is a test!”

-

原文转自：http://www.ltesting.net