故事的开始

今天晚上收到了一封邮件：

看着很像 github 的邮件对吧？然后，我把暗色模式关了：

然后是邮件标题：

以及最重要的，分析一下邮件头：

尸检

送上门的钓鱼邮件肯定要好好玩一玩啊，所以开启虚拟机，挂上代理服务器（避免漏洞攻击和真实 IP 暴露），打开链接。

通过验证码后：

随便输入一个随机密码，提示错误，符合常理。

按照一般钓鱼网站的套路，此时需要再次输入一次才会跳转到第二层页面，所以再编一个随机密码：

随便输入一个6位验证码：

手里没有 Kali，不然我觉得可以再扫扫看，所以今天就先到这里了。

总结一下

邮件质量

评价：粗制滥造

很多地方应该大写的字母没有大写，最令人不解的是完全没有适配日间模式..................

同时句子结尾也没有点来结束。

发件人和发信服务器也没怎么好好伪装。

站点质量

评价：业界常规水平（大雾

没什么亮点，万年不变的老套路，还没我舍友遇到的 QQ 盗号钓鱼网站专业，太屑了。

稍微一看就是漏洞百出。

注意网络安全

虽然这些邮件一看就令人可笑，但是对于普通人很难有如此强的洞察力。

也提醒一下看到这篇文章的人，遇到突如其来的邮件，先对发件地址进行核验。再仔细检查每个按钮的链接是否正常。正规邮件的按钮链接通常直接指向自家服务的地址，而不是某个二次跳转的 URL。

同时，不要填写任何用户名/密码/验证码信息，避免造成信息泄露和财产损失。访问潜在有风险的网站时，灵活使用安全工具如沙盒，虚拟机，代理服务器和应用程序防护模式，避免 one-click 漏洞攻击和真实 IP 地址暴露。

一点吐槽

以前版本的 Chrome 系浏览器，在 SSL 证书是企业注册的时候，会在地址栏显示企业名称，但是现在不再显示了，有点可惜。