【缺陷周话】第46期：邮件服务器建立未加密的连接

 聚焦源代码安全，网罗国内外最新资讯！

*声明：《缺陷周话》栏目系列文章由奇安信代码卫士团队原创出品。未经许可，禁止转载。转载请注明“转自奇安信代码卫士 www.codesafe.cn”。

代码审计是使用静态分析发现源代码中安全缺陷的方法，辅助开发或测试人员在软件上线前较为全面地了解安全问题,防患于未然，因此一直以来都是学术界和产业界研究的热点，并已成为安全开发生命周期 SDL 和 DevSecOps 等保障体系的重要技术手段。

奇安信代码卫士团队基于自主研发的国内首款源代码安全检测商用工具，以及十余年漏洞技术研究的积累，推出“缺陷周话”系列栏目。每周针对 CWE、OWASP 等标准中的一类缺陷，结合实例和工具使用进行详细介绍，旨在为广大开发和安全人员提供代码审计的基础性标准化教程。

缺陷周话 • 第46期

邮件服务器建立未加密的连接

  

1、邮件服务器建立未加密的连接

在程序开发中需要构建邮件和消息应用程序时，保证邮件通讯数据的机密性和数据内容的完整性是不可或缺的。如果在未加密的情况下建立邮件服务连接，则攻击者可能会拦截网络通信数据并进行数据篡改，或者将传输的数据备份，以获取用户网络活动信息，包括账户、密码等敏感信息，而进行通信的双方却毫不知情。本文以JAVA语言源代码为例，分析“邮件服务器建立未加密的连接”缺陷产生的原因以及修复方法。详见CWE ID 200: Information Exposure (http://cwe.mitre.org/data/definitions/200.html)。

2、邮件服务器建立未加密的连接的危害

利用该缺陷，攻击者可能会对网络数据进行截取，通过修改邮件内容，在其中植入钓鱼链接，诱骗用户输入机密数据，如信用卡号、账户名、口令等。

从2018年1月至2019年8月，CVE中共有1条漏洞信息与其相关。部分漏洞如下：

CVE	概述
CVE-2018-5482	Intuit Lacerte 2017 for Windows 在客户端/服务器环境中通过 SMB 以明文形式传输整个客户列表，允许攻击者通过嗅探网络获取敏感信息进行中间人（MITM）通过未指定的载体进行攻击。客户列表包含每个客户的姓名、社会安全号码（SSN）、地址、职位、电话号码、电子邮件地址、配偶电话、电子邮件地址以及其它敏感信息。客户端软件对服务器数据库进行身份验证后，服务器会发送客户列表。所有敏感数据都暴露无需进一步利用。此漏洞已在 Intuit Lacerte 2017上得到验证，但旧版本的 Lacerte 可能容易受到攻击。

3、示例代码

3.1 缺陷代码

上述代码是进行发送邮件的初始化操作，第77行声明了一个 Properties 对象用于连接邮件服务器的参数配置，第78行设置 发件人的邮箱的 SMTP 服务器地址，第79行使用 STMP 协议作为邮件发送协议，第80行根据配置创建会话对象，用于和邮件服务器交互，第81行将会话设置为 debug 模式，可以查看程序发送 Email 的运行状态。第82~83行创建邮件对象并设置发件时间，MimeMultipart 对象用于添加邮件的各个部分内容，包括文本内容和附件，第85行将 multipart 设置为邮件的内容。在创建并使用邮件服务的过程中使用了未加密的连接，使用未加密网络发送敏感信息可能会被恶意攻击者通过拦截网络通信读取并修改信息。

使用代码卫士对上述示例代码进行检测，可以检出“邮件服务器建立未加密的连接”缺陷，显示等级为高。在代码行第80行报出缺陷，如图1所示：

图1：“邮件服务器建立未加密的连接”检测示例

3.2 修复代码

在上述修复代码中，在第80行将SSL的可用性设置为 true，则默认情况下使用 SSL 连接并使用SSL 端口，使用 SSL 连接可以为网络通信提供安全及保证数据完整性。

使用代码卫士对修复后的代码进行检测，可以看到已不存在“邮件服务器建立未加密的连接”缺陷。如图2所示：

图2：修复后检测结果

4、如何避免邮件服务器建立未加密的连接

使用SSL/TLS对通过网络发送的所有数据进行加密，或者将现有的未加密连接升级到SSL/TLS。

推荐阅读

*奇安信代码卫士团队原创出品。未经许可，禁止转载。转载请注明“转自奇安信代码卫士 www.codesafe.cn”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。