黑客利用 Facebook 漏洞,发起网络钓鱼攻击
Bleeping Computer 网站披露,网络攻击者利用 Salesforce 电子邮件服务和 SMTP 服务器中的漏洞,针对一些特定的 Facebook 账户发起复杂的网络钓鱼活动。

据悉,网络攻击者利用 Salesforce 等具有良好信誉的电子邮件网关分发网络钓鱼电子邮件,此举有利于其规避安全电子邮件网关和过滤规则,确保恶意电子邮件能够到达目标收件箱。
前段时间,Guardio Labs 的分析师 Oleg Zaytsev 和 Nati Tal 发现漏洞问题,随后向 Salesforce 报告并帮助进行了漏洞修复,然而 Facebook 游戏平台上的漏洞问题仍悬而未决,Meta 的工程师们仍在努力寻找现有缓解措施不能有效阻止攻击的原因。
PhishForce 漏洞在攻击被滥用
Salesforce CRM 允许客户使用自定义域名作为自己的“品牌”发送电子邮件,但必须通过平台验证这些域名,这样就可以阻止客户通过 Salesforce 发送其无权冒充的其它品牌的电子邮件。然而不幸的是,Guardio Labs 称网络攻击者找到一种利用 Salesforce "Email-to-Case "功能的方法。
具体来说就是攻击者设置一个新的 “Email-to-Case ”流程,以获得对 Salesforce 生成的电子邮件地址的控制权,之后在 “salesforce.com ”域上创建一个新的入站电子邮件地址。

生成的 Salesforce 地址(Guardio Labs)
接下来,网络攻击者将该地址设置为 “组织范围内的电子邮件地址”,Salesforce 的 Mass Mailer Gateway将其用于出站电子邮件,并最终通过验证过程来确认该域的所有权。

点击验证链接确认所有权(Guardio Labs)
整个过程允许网络攻击者使用自有的 Salesforce 电子邮件地址向任何人发送信息,从而绕过 Salesforce 的验证保护以及任何其它电子邮件过滤器和反钓鱼系统。
事实上,这就是近期 Guardio Labs 在野外观察到的情况,据称来自 “Meta Platforms ”的网络钓鱼电子邮件使用了 “case.salesforce.com ”域名。

从真实攻击中提取的网络钓鱼电子邮件样本(Guardio Labs)
一旦受害者点击了嵌入式按钮后,便会进入一个作为 Facebook 游戏平台("apps.facebook.com")一部分托管和显示的网络钓鱼页面,这为攻击增加了更多合法性和说服力,使电子邮件收件人更难意识到欺诈行为。

托管在 Facebook 游戏平台上的网络钓鱼页面(Guardio Labs)
Guardio 指出此次网络攻击活动中使用的网络钓鱼工具包的目的是窃取 Facebook 帐户凭据,甚至还具有绕过双因素身份验证机制的特点。

观察到的攻击链(Guardio Labs)
Meta 正在积极调查网络攻击事件
2023 年 6 月 28 日,Guardio Labs 发现漏洞问题并报告给 Facebook ,一个月后,Guardio Labs 重现了该漏洞并解决了问题。对于“apps.facebook.com”的滥用,Guardio Labs 指出攻击者应该不可能创建用作登录页的游戏拉票。接到 Guardio Labs 的报告后,Meta 删除了违规页面,其工程师仍在调查现有保护措施未能阻止攻击的原因。
随着网络钓鱼行为者不断探索合法服务提供商的每一个潜在滥用机会,新的安全漏洞不断威胁着用户,使其面临严重风险。因此用户不能仅仅依赖电子邮件保护解决方案,还必须仔细检查收件箱中的每封邮件,查找不一致之处,并反复检查邮件中的所有声明。
相关文章:
黑客利用 Facebook 漏洞,发起网络钓鱼攻击
Bleeping Computer 网站披露,网络攻击者利用 Salesforce 电子邮件服务和 SMTP 服务器中的漏洞,针对一些特定的 Facebook 账户发起复杂的网络钓鱼活动。 据悉,网络攻击者利用 Salesforce 等具有良好信誉的电子邮件网关分发网络钓鱼电子邮件&am…...
React Router@3.x 升级到 @6.x 的实战
一、概述 目前公司产品有关 react 的工具版本普遍较低,其中react router版本为 3.x(是的,没有看错,3.x 的版本,4年前的版本)。而最新的 react router 已经到了 6.x 版本。 为了能够跟上路由的脚步,也为了使用 router 相关的 hooks 函数,一次必不可少的升级由此到来!由于…...
LAXCUS和GPU软硬件结合,构建强大算力生态
随着科技的不断进步,计算机技术已经渗透到我们生活的方方面面。其中,GPU(图形处理器)作为一种强大的计算设备,已经成为了人工智能、大数据、云计算等领域的核心硬件之一。然而,传统操作系统都是单机系统,只能在一台计算…...
学会这一招,轻松玩转小程序自动化
jmeter 可以做性能测试,这个很多人都知道,那你知道,jmeter 可以在启动运行时,指定线程数和运行时间,自定义性能场景吗? jmeter 性能测试,动态设定性能场景 平时,我们使用 jmeter 进…...
Mongodb 更新集合的方法到底有几种 (上) ?
更新方法 Mongodb 使用以下几种方法来更新文档 , Mongodb V5.0 使用 mongosh 客户端: db.collection.updateOne(<filter>, <update>, <options>) db.collection.updateMany(<filter>, <update>, <options>) db.c…...
推荐5款能帮你解决各种问题的神器
今天我要向大家推荐5款超级好用的效率软件,无论是在学习还是办公中都能够极大地提高效率。这些软件可以帮助你解决许多问题,而且每个都是真正的神器。 网速和硬件监控——TrafficMonitor TrafficMonitor 是一款可以在任务栏或桌面悬浮窗显示系统…...
绕过 open_basedir
目录 0x01 首先了解什么是 open_basedir 0x02 通过命令执行绕过 0x03 通过symlink 绕过 (软连接) 0x04利用glob://绕过 方式1——DirectoryIteratorglob:// 方式2——opendir()readdir()glob:// 0x05 通过 ini_set和chdir来绕过 在ctfshow 72遇到…...
如何使用SpringBoot 自定义转换器
😀前言 本篇博文是关于SpringBoot 自定义转换器的使用,希望你能够喜欢😊 🏠个人主页:晨犀主页 🧑个人简介:大家好,我是晨犀,希望我的文章可以帮助到大家,您的…...
多线程(进阶)
一、常见的锁策略 1.1读写锁 多线程之间,数据的读取方之间不会产生线程安全问题,但数据的写入方互相之间以及和读者之间都需 要进行互斥。如果两种场景下都用同一个锁,就会产生极大的性能损耗。所以读写锁因此而产生。 读写锁(r…...
端口输入的数据为什么要打拍?
一次作者在开发图像时候,对输入的图像没有打拍,直接输出给显示终端,时好时坏,或者图像颜色不正确,最终经过打拍解决了此问题。 //配置为16-Bit SDR ITU-R BT.656模式时pixel_data[23:16]为高阻。always (posedge pixe…...
Qt读写Excel--QXlsx编译为静态库2
1、概述🥔 在使用QXlsx时由于源码文件比较多,如果直接加载进项目里面,会增加每次编译的时间; 直接将源码加载进项目工程中,会导致项目文件非常多,结构变得更加臃肿; 所以在本文中将会将QXlsx编译…...
win11电脑查找已连接打印机ip的方法
此方法适用于驱动打印机,windows 11操作系统。 方法一:直接查看法 首先大家可以看看自己的打印机有没有lcd屏幕。有些直接在屏幕显示ip;另一种进入菜单,然后可以在里面的选项中显示“ip地址”。 方法二:设置中查看 …...
测试开发探索:“WeTalk“网页聊天室的测试流程与自动化
目录 引言: 测试开发目标: "WeTalk"项目背景 关于登录测试用例的设计 测试开发策略与流程 集成测试:Selenium JUnit 接口测试:Postman 测试用例的设计与实现 自动化测试演示: 用例一:登…...
图片增强组件实现
设计并实现了一个图片增强的组件,具体功能如下: 图片数据增强,包括且不限于:图片旋转、比例增强、高斯噪声、饱和度变换等若图片包含对应标注boundingbox,也支持对应变换,保证圈选内容的不变性实现多种方式…...
go.sum are different when using go mod vendor/download
本地Golang配置 今天本地编译一个项目,遇到以下错误 PS D:\Code\Golang\jiankunking\k8s-ext> go mod tidy go: downloading github.com/huaweicloud/huaweicloud-sdk-go-obs v3.23.4incompatible verifying github.com/gin-gonic/ginv1.7.3: checksum mismat…...
Docker技术入门教程
Docker技术入门教程 一、docker概念 一款产品从开发到上线,从操作系统,到运行环境,再到应用配置。作为开发运维之间的协作我们需要关心很多东西,这也是很多互联网公司都不得不面对的问题,特别是各种版本的迭代之后&a…...
Vue2-组件,组件的使用及注意点,组件嵌套,VueComponent构造函数,单文件组件
🥔:功不唐捐 更多Vue知识请点击——Vue.js VUE-Day5 组件与使用组件的三大步1、定义组件(创建组件)2、注册组件①局部注册②全局注册 3、使用组件小案例: 使用组件的一些注意点1.关于组件名2.关于组件标签3.一个简写方式 组件的嵌套VueCompon…...
IntelliJ IDEA Bookmark使用
1 增加 右键行号栏 2 查看 从favorite这里查看 参考IntelliJ IDEA 小技巧:Bookmark(书签)的使用_bookmark idea 使用_大唐冠军侯的博客-CSDN博客...
kriging-contour前端克里金插值
先看效果: 本项目在kriging-contour插件基础上进行了封装,增加了自定义区域插值,gitbub地址。...
第八章 CUDA内存应用与性能优化篇(中篇)
cuda教程目录 第一章 指针篇 第二章 CUDA原理篇 第三章 CUDA编译器环境配置篇 第四章 kernel函数基础篇 第五章 kernel索引(index)篇 第六章 kenel矩阵计算实战篇 第七章 kenel实战强化篇 第八章 CUDA内存应用与性能优化篇 第九章 CUDA原子(atomic)实战篇 第十章 CUDA流(strea…...
<实战指南>从RSOD数据集到YOLO模型:遥感图像目标检测全流程解析
1. RSOD数据集初探:遥感目标检测的黄金样本库 第一次接触遥感图像目标检测时,我和大多数初学者一样,面对五花八门的数据集不知从何下手。直到遇见RSOD这个"小而美"的经典数据集,才真正打开了正确的研究方式。这个包含93…...
单片机开发者必看:从蓝桥杯真题学电源电路设计(BUCK电路详解版)
单片机开发者必看:从蓝桥杯真题学电源电路设计(BUCK电路详解版) 在电子设计竞赛和实际项目开发中,电源电路的设计往往是决定系统稳定性的关键因素。作为一名长期参与蓝桥杯赛事指导的工程师,我发现许多参赛者在BUCK电路…...
C++ <algorithm>标准库常用算法
<algorithm> 头文件是 C 标准模板库(STL)的“军火库”,里面包含了大约 100 多个函数模板。 掌握其中 10-15 个核心算法,就能覆盖 90% 的日常开发需求,让你彻底告别繁琐的手写 for 循环。 为了方便记忆࿰…...
KMS_VL_ALL_AIO:Windows与Office智能激活终极指南 - 3分钟解决授权问题
KMS_VL_ALL_AIO:Windows与Office智能激活终极指南 - 3分钟解决授权问题 【免费下载链接】KMS_VL_ALL_AIO Smart Activation Script 项目地址: https://gitcode.com/gh_mirrors/km/KMS_VL_ALL_AIO KMS_VL_ALL_AIO 是一款功能强大的智能激活脚本工具࿰…...
如何从 iCloud 还原照片?6 种方法成功解决
丢失珍贵的照片可能会令人心碎。幸好,有了 iCloud 这样的服务,恢复照片就变得相对简单了。iCloud 是 Apple 的云存储服务,它允许用户安全地备份照片和其他数据,确保珍贵的回忆永不丢失。在本文中,我们将指导您完成从 i…...
Java 19+ Loom生产事故复盘:某银行核心交易链路OOM崩溃始末,5个致命配置反模式曝光
第一章:Java Loom响应式编程转型的必要性与战略定位在高并发、低延迟、资源敏感型现代服务架构中,传统基于线程池的阻塞式I/O与回调驱动的响应式模型正面临双重瓶颈:JVM线程成本高企,而Project Reactor或RxJava等响应式库又引入了…...
Bypass Paywalls Clean技术实现:浏览器扩展的付费内容访问完整方案
Bypass Paywalls Clean技术实现:浏览器扩展的付费内容访问完整方案 Bypass Paywalls Clean是一款基于Chrome扩展架构的智能内容访问工具,通过请求头优化、脚本注入和动态解析技术,为技术爱好者和进阶用户提供突破网站付费限制的深度解决方案&…...
Golang怎么实现SSE服务端推送事件_Golang如何用Server-Sent Events实时推送数据【教程】
Go 的 http.ResponseWriter 能多次写入,但需禁用缓冲、手动刷新并防止中间件断连;SSE 需设正确 header、定时心跳、严格格式输出、绕过干扰中间件,并配置反向代理。Go 的 http.ResponseWriter 为什么不能直接写多次?因为 SSE 要求…...
等离子处理机选型指南:从工艺需求到方案落地
在制造业转型升级的浪潮中,等离子表面处理技术正成为解决材料附着力难题的关键手段。面对市场上真空型、大气型、刻蚀型等多样化设备,企业该如何匹配自身需求?本文基于深圳市方瑞科技有限公司的实践案例,系统解析等离子处理机的选…...
Qwen1.8B模型数据库课程设计辅助:智能SQL生成与优化建议
Qwen1.8B模型数据库课程设计辅助:智能SQL生成与优化建议 每次数据库课程设计,是不是都让你有点头疼?面对一个空白的数据库设计文档,要从需求分析、概念设计一路做到物理实现,最后还要写出一堆正确又高效的SQL语句。这个…...
