我最近向Google报告了一个安全问题，允许攻击者确认网页访问者是否已登录任何Google服务帐户（包括GSuite帐户）。 根据我的测试结果，攻击者可以每25秒确认大约1000个电子邮件帐户。但谷歌的回应是：这是一个特别设计的功能，它不是一个安全漏洞。 您可以在[演示页面]上测试此功能（dong）。 首先，给每个人一个PoC演示（测试帐户是我自己的电子邮件）： 方法 我之前写过一篇关于“识别用户是否登录社交网络”的文章，本文中描述的攻击是以前技术的变体。但恕我直言，本文所述攻击方法的影响将更为严重。 Google的登录页面通常会在URL链接中传递一个continue参数。此参数将负责将用户重定向到完成登录后他们需要访问的目标地址。但是，如果您已完成登录，则将重定向到continue参数指定的URL。 通过这种方式，攻击者可以使用此操作机制，并通过特制的URL地址将登录的用户重定向到图像文件，并提供虚假的登录页面，试图欺骗用户完成登录操作。如果您现在在img标记的src属性中使用此URl地址，则可以使用JavaScript的onload和onerror函数来确定图像是否已正确加载。 如果图像成功加载，则用户已完成登录操作;如果图片加载不正确，则用户未登录。谷歌已经知道此问题，但此功能有一定的局限性，不会造成严重影响，因此谷歌没有注意。 但问题并不像谷歌想象的那么简单，因为攻击者现在可以提供额外的参数来指定电子邮件地址。这意味着如果攻击者提供的电子邮件地址与目标用户的电子邮件地址匹配，则会触发重定向。 通过这种方式，攻击者可以通过JavaScript的onload属性动态创建和加载图像标记（此过程不需要将图像对象添加到网页，甚至不需要将其附加到页面的DOM树）然后等待比赛完成。在我测试期间，我能够每23-24秒检测到大约1000个电子邮件地址。如果目标用户登录到您的站点并停留几分钟，您可以检测到数千个电子邮件地址。 但现在我们需要使用其他一些方法来收集有关目标用户的一些基本信息，例如使用IP地址来了解他们的地理位置，使用有针对性的社交广告来收集有关其公司网络或其他的基本信息。等待。如果进展顺利，您现在应该能够动态加载目标地址列表。接下来，您可以使用本文中介绍的技术来匹配和记录目标用户的电子邮件地址，IP地址，地理位置，设备信息以及各种其他信息。 现在，您可以使用刚刚收集的信息来发起动态网络钓鱼攻击。 漏洞披露时间表 2017年7月14日：我向Google的安全团队报告此问题; 2017年7月17日：该问题已经分类，正在等待处理; 2017年7月18日：Google安全小组与我联系并向我询问有关处理此漏洞的建议; 2017年7月18日：我对他们的建议是在电子邮件中使用某种随机数或盐哈希值，并且只有当哈希值与电子邮件匹配时才允许重定向; 2017年7月19日：Google确认该问题被归类为安全漏洞; 2017年7月21日：我发表了一篇详细描述漏洞的文章; 2017年8月9日：经过讨论，谷歌团队告诉我这是一个特别设计的功能，并说它不会被视为安全问题，所以他们不会采取任何进一步的行动; 总结一下 此攻击技术确实存在一些限制，因为您必须提前获取目标用户列表。虽然Google安全团队并不认为这是一个安全漏洞，但我仍然非常感谢他们及时回复我提交的信息，他们非常友好。 *参考来源：tomanthony，FB小编Alpha_h4ck编译 黑客业务列表介绍和一般分类： 类别：攻击入侵破解开发 1：攻击业务订单：暂时取消所有此类业务订单[仅销售常规IDC流量] 2：入侵业务清单：包括网站源代码，办公系统，黑色系统，教育系统等。 3：破解业务类：软件，加密文件，二次打包，脱壳等。 4：二次开发业务清单：软件二次开发，源代码二次开发等 5：其他业务订单：特洛伊木马[通过所有防病毒]，远程控制，特殊软件等 备注：未提及的业务订单可根据主要类别查询或直接联系客户服务。为避免浪费双方时间，请在咨询前阅读：业务交易流程及相关说明 注意:仅接受正式业务，个人无权接受。收集此内容。