通过 SMTP 伪造 Facebook 消息

摘要

Facebook 邮件服务器仅凭发件 IP 的 PTR 记录就接收来信，不校验发件域名与发信服务器是否匹配，攻击者可伪造外部域名向 @facebook.com 地址投递钓鱼或恶意邮件。作者建议 Facebook 校验发信 IP 与所声称域名的 MX 记录一致。