来自Apple的垃圾邮件

早上我收到了一封来自apple的邮件, 但是正文里面有非常奇怪的文字:

"支付寶花贝套现提现需要联系ＱＱ７１８８０６５３提供在线蚂蚁花贝套现服务诚信交易快速安全"

我的第一个反应是很可能这封邮件不是来自apple的, 发送者将发送人修改成为apple的邮箱. 但是我又看了gmail的验证确认这封邮件是来自apple的.

于是很好奇地把这两张图片post到了weibo上, 很快 @sky_infall 就给出了比较靠谱的解释.

如果除了支付宝那行下面的html里都没有猫腻，最有可能的是被类似SQL注入攻击了。也就是说，真的是苹果发出的邮件。只是带了个不该带的内容。

那个支付宝那行看来被苹果认为是用户名。所以不是SQL注入，而是批量刷安全邮件。这招狠，看来苹果没有验证提交频率，也没有在这种页面上预先给一个token做后续的验证。

所以其实这封邮件是向Apple提交设置救援邮件地址时Apple系统发送的, 然后用户名正是"支付宝…"这样一段含有广告性质的文字.