邮件安全隐患及其防范技术研究

邮件安全隐患及其防范技术研究

陈小兵 【 antian365.com 】

摘要 电子邮件是 Internet 上使用最为频繁和广泛的服务，在给人们带来便利的同时，亦带来令人担忧的邮件安全问题。邮件被泄露、篡改和假冒的事件时有发生，垃圾邮件令人苦不堪言；邮件木马攻击愈来愈先进，而且它已经成为网络攻击的主要手段之一。本文通过对存在的邮件安全隐患进行了技术分析，就如何加强邮件安全，采取有效的安全防范措施，牢牢把握网上邮件安全的主动权，给出了一些相应的防范措施。

 

关键词 邮件安全 防范 木马

   随着安全教育，特别是保密教育的普及和重视，个人电脑都严格要求安装了杀毒软件和个人防火墙，病毒库和系统漏洞补丁程序也及时进行了更新，对于大多数计算机来讲，计算机系统安全隐患的风险得到了有效的降低，被入侵者主动攻击成功的几率大大降低；但是由于网络的普及，很多家庭和单位具备上国际互联网的条件，收看个人 Email 邮件已经成为生活中的一部分。邮件攻击已经成为网络攻击的主要手段之一，特别是带有恶意病毒、网页木马程序、特制木马程序以及利用软件漏洞的邮件木马在互联网上泛滥成灾，用户打开和阅读邮件时，木马感染系统，并可借助移动存储设备进行传播；因此邮件安全已经成为了安全领域一个不可忽视，而亟待解决的问题。

   收发和查看 Email 邮件主要有两种方式，一种是直接通过 Web Mail 服务器，另外一种是通过单独的 Email 邮件客户端软件，例如 Outlook 、 Foxmail 等，贾培武 ^[1] 给出了一些处理 Foxmail 带毒邮件的方法，蒋华龙^{【 2 】} 等对反垃圾邮件的原理以及技术手段等进行了分析。目前对邮件木马的攻击原理，邮件木马实现原理等研究较少。

1. 邮件安全隐患分析

1.1 软件隐患

  完美无缺的软件目前还没有，任何软件都存在缺陷，只是这种缺陷的危害程度大小不一样，提供邮件服务的邮件服务器以及接收邮件的客户端软件都存在或多或少的缺陷。

（ 1 ）邮件软件自身存在缺陷

    到目前为止，市面上提供的邮件服务器软件、邮件客户端以及 Web Mail 服务器都存在过安全漏洞。 QQ 邮箱读取其他用户邮件漏洞 ^[3] 、 Elm 泄露任意邮件漏洞^{【 4 】} 、 Mail Security for Domino 邮件中继漏洞^{【 5 】} 、 The Bat ! 口令保护被绕过漏洞、 Outlook Express 标识不安全漏洞、 263 快信 WinBox 漏洞、 Foxmail 口令绕过漏洞 ^[6] 等等。入侵者在控制存在这些漏洞的计算机后，可以轻易获取 Email 地址以及相对应的用户名与密码，如果存在 Email 通讯录，还可以获取与其联系的其他人的 Email 地址信息等。还有一些邮件客户端漏洞，入侵者可以通过构造特殊格式邮件，在邮件中植入木马程序，只要没有打补丁，用户一打开邮件，就会执行木马程序，安全风险极高。

（ 2 ）邮件服务器端软件和客户端软件配置问题

    邮件服务器软件和客户端软件也会出现因为配置不当，而产生较高安全风险，例如 Cedric 邮件阅读器皮肤配置脚本存在远程文件包含漏洞^{【 7 】} 。很多管理员由于邮件服务器配置不熟悉，搭建邮件服务器平台时，仅仅考虑够用或者能够使用，而未考虑到应该安全可靠的使用，在配置时仅仅设置为可使用，未对其进行邮箱安全渗透测试，因此安全风险也极大。

1.2 电子邮件木马隐患

   一封正常的邮件，无论用户怎么操作，都是安全的；而安全风险往往来自非正常邮件，目前邮件攻击结合社会工程学方法，发送的邮件在表面上跟正常邮件没有多大区别，不容易甄别。这些邮件常常采用以下方式。

（ 1 ）网页木马，邮件格式为网页文件，查看邮件只能以 html 格式打开，这些网页主要利用 IE 等漏洞，当打开这些邮件时，会到制定地址下载木马程序并在后台执行。

（ 2 ）应用软件安全漏洞木马，这些邮件往往包含一个附件，附件可能是 exe 文件类型，也可能是 doc 、 pdf 、 xls 、 ppt 等文件类型，入侵者通过构造特殊的格式，将木马软件捆绑在文件或者软件中，当用户打开这些文件时，就会直接执行木马程序。还有一种更加隐蔽，将木马软件替换为下载者，下载者就是一个到指定站点下载木马软件，其本身不是病毒软件；用户查看文件时，首先执行下载者，下载者然后再去下载木马软件并执行，杀毒软件将视下载者为正常软件，不会进行查杀。这种方式隐蔽性好，木马存活率，安全风险极高。

（ 3 ）信息泄露隐患，用户在注册 BBS 论坛、 Blog 以及一些公司的相关服务中，都要求提供 Email 地址等相关信息，有些公司和个人为了商业目的会将邮件地址等进行出售来获利，这些个人信息泄露将会带来安全隐患；还有一种情况，就是个人注册信息在网络上没有得到屏蔽，任何用户都可以查看和搜索，通过 Google 等搜索引擎可以获取较为详尽的资料信息，危害极高。

1.3 系统安全隐患

     系统安全隐患的范围比较大，系统在安装过程、配置以及后期使用过程中由于使用不当，都有可能造成安全隐患；例如下载并执行未经安全检查的软件，系统存在未公开的漏洞等，这些安全隐患风险极高，且不容易防止，往往只能通过规范培训，加强制度管理等来降低风险。

2. 邮件木马技术

2.1 网页木马技术

网页木马是最近几年比较流行的一种木马技术，其原理就是利用IE本身或Windows组件的漏洞（一般为缓冲区溢出）来执行任意命令（网页木马即执行下载木马和隐藏执行命令），一般常见的漏洞多产生于IE，畸形文件（如畸形的ANI，word文档等，IE会自动调用默认关联打开，导致溢出），程序组件（用java调用带有漏洞的组件来执行命令），其核心代码主要是利用vbs脚本下载木马程序并执行^{[8] [9]}。早期的网页木马主要有两个文件，一个为html网页文件，另外一个为木马文件。如果浏览者的操作系统中存在漏洞，在访问网页文件时便会自动执行木马程序。由于杀毒软件的查杀，后期的网页木马开始利用 框架网页，例如 <iframe src= 地址 width=0 height=0></iframe> ，将框架网页嵌入在正常网页中，由于框架网页的宽度和高度均为 0 ，所以在网页中不会有视觉上的异常，不容易被察觉。后面陆续出现利用 JavaScript 、 JavaScript 变形加密、 css 、 Java 、图片伪装等多种方式将框架网页代码进行转换变形等处理 ^[10] ，使其更难被发现和被杀毒软件查杀。

入侵者一方面在个人网站、商业网站以及门户网站等上面放置网页木马，控制个人计算机、盗取个人账号、出售流量等来牟取商业利益；另外还将这些网页木马制作成网页文件，大量发送垃圾邮件，如果接收者一不小心打开了网页文件，计算机将会感染和传播木马病毒，安全风险极高。

2.2 文件捆绑技术

文件捆绑的核心原理就是将 b.exe 附加到 a.exe 的末尾，当 a.exe 被执行的时候， b.exe 也跟着执行了。早期的文件捆绑技术比较简单，文件捆绑器比较容易被查杀，后面逐渐出现通过利用资源来进行文件捆绑，在 PE 文件中的资源可以是任意的数据，将木马程序放入资源中，执行正常程序后再释放木马程序。

在邮件木马中，捆绑木马攻击是最常见的一种攻击方式，比较直接，只要打开邮件中的捆绑的文件，则会执行木马程序。常见以下几种捆绑文件类型：

（ 1 ）应用程序安装文件。这类可执行文件往往伪装成一个 setup 图标的安装文件。

（ 2 ） Ebook 电子图书文件。 Ebook 电子图书是一种可执行的文件，这类文件是将 html 等文件通过编译生成一个可执行文件。

（ 3 ） Flash 文件。 Flash 文件有两种类型，一种是可执行的 flash 文件，直接运行就可以观看 flash ；另外一种是以 .swf 结尾的文件，需要单独的 Flash 播放软件播放。

     文件捆绑的核心就是将一个正常的文件跟木马文件捆绑，捆绑时会修改文件图标，以假乱真，诱使用户打开这类文件，达到控制计算机或者传播病毒的目的。

2.3 应用软件漏洞利用技术

   利用应用软件漏洞而制作的木马程序，很难识别，危害最高。 Office 软件中的 Word 、 PowerPoint 、 Excel ， Adobe Reader ，超星图书浏览器等都出现过高危安全漏洞，在日常办公中这些文件被广泛使用，利用应用软件的漏洞制作的木马，跟正常文件没有什么区别，当用户打开时，会执行木马程序和打开正常的文件。入侵者往往利用应用软件漏洞来制作木马，将这些看似正常的文件通过邮件发送给被攻击者，被攻击者一旦打开邮件中的文件，感染木马病毒的几率非常高。

3. 邮件安全防范

3.1 邮件服务器安全防范

邮件服务器最基本的安全是保证操作系统的安全，由于操作系统安全涵盖面比较大，本文主要是在假设操作系统安全的前提下，主要讨论邮件安全，其系统安全建议采用以下措施：

（ 1 ）及时更新操作系统漏洞补丁。

（ 2 ）安装杀毒软件和防火墙，及时更新病毒库，定期定时查杀病毒，如果有条件可以使用邮件安全网关。

（ 3 ）设立安全 checklist ，定期按照安全策略进行安全检查。

（ 4 ）严格限制 IP 地址访问，除了邮件服务器提供的邮件服务外，如果能够做 IP 安全限制，就针对维护的 IP 地址等进行信任网络设置。

（ 5 ）安装的任何软件必须经过安全测试，确保无插件，确保安装的软件是“干净”的。

对于邮件服务器，不管配置什么样的邮件服务器，在配置服务器时，一定上网查找目前邮件服务器软件版本是否存在漏洞，以及一些相关的安全配置文章，做好其相关安全风险评估和风险应对措施。

3.2 邮件客户端安全防范技术

    除了邮件服务器的安全外，邮件客户端是邮件木马攻击的主要对象，因此做好邮件客户端的安全防范在邮件安全防范方面至关重要。邮件客户端计算机应当安装有防火墙、杀毒软件，并及时更新病毒库和操作系统安全补丁。建议使用具有邮件监控的杀毒软件，对于国内普通用户可使用“瑞星免费防火墙＋avast！杀毒软件”的组合，avast!具有较强的邮件和网页木马监控能力，而且是免费的。对邮件木马的防范建议采用以下四种方法：

（ 1 ）一“查”主要是在收看邮件时，如果存在附件，先将附件保存到本地，然后使用杀毒软件进行查杀。如果是可执行文件，一定要通过物理通讯方式，询问发件人，确保邮件的来源可靠。建议修改文件夹选项，取消“隐藏文件已经文件后缀”选项，使其能够查看文件的实际后缀名称，防止入侵者修改文件后缀，以假乱真，诱使收件人执行木马程序。

（ 2 ）二“看”主要是指像看邮件标题，以及寄件人地址，如果邮件有附件，需要先查看附件属性，附件文件是否隐藏了文件后缀。如果邮件客户端程序提供文本查看方式，建议先采用文本查看方式进行查看。

（ 3 ）三“堵”就是在发现已经感染病毒的情况下，要及时堵漏，采取相应的补救措施，如果发现系统感染了木马程序，建议恢复系统或者重装操作系统。

（ 4 ）使用双向加密软件查看和收发邮件，例如使用具有 PGP 加密功能的软件来进行邮件的收发，通过个人签名证书等可信任方式来保证邮件的安全，防止假冒、篡改电子邮件。

如果在收看邮件时，不小心感染了邮件木马程序，应当即刻断掉网络，查杀病毒，做好数据备份，如果条件允许，尽量重新恢复系统，并报告网管人员，再次进行系统安全检查等，确保本地网络完全。

4. 结束语

    本文就邮件安全隐患进行了探讨，邮件攻击目前已经成为攻击的主要手段之一，由于邮件已经成为日常生活中不可缺少的一部分，绝大多数人都会上网使用电子邮件，如果没有邮件相关的安全防范意识，邮件木马入侵成功率较高，不管是发生在个人、公司、政府或者军队，均有极大的安全风险，本文对邮件木马等技术进行了研究，最后给出了一些切实可行的解决方法，对付邮件木马有一定的参考价值。

参考文献

1. 贾培武，处理 Foxmail 带毒邮件四部曲，电脑视窗， 2006 ，（ 5 ）， 43.

2. 蒋华龙，杨晓蕊，反垃圾邮件技术分析，实验室科学， 2006 ， 10 （ 5 ）： 104-106.

3. [url]http://www.dev-share.com/net_security/4207.html[/url]

4. [url]http://www.infosecurity.org.cn/article/hacker/tutor/15138.html[/url]

5. [url]http://tel.21safe.com/ArticleView/2006-10-25/Article_View_9107.Htm[/url]

6. [url]http://www.it.com.cn/f/edu/048/19/17276_6.htm[/url]

7. [url]http://tag.csdn.net/Article/c6f7046f-2b9a-492f-b368-b2dbb0987492.html[/url]

8. [url]http://tech.163.com/06/0914/09/2QVKIV0R00091JFM.html[/url]

9. [url]http://blog.sina.com.cn/s/blog_56dac82f010005np.html[/url]

10. [url]http://zhidao.baidu.com/question/32743765.html[/url]

本文出自 “simeon技术专栏” 博客，转载请与作者联系！