邮件里的“隐形斗篷”：当安全警告被CSS抹去
在企业的日常办公中，IT管理员通常会设置一道安全防线：当员工收到来自组织外部的邮件时，邮件客户端会在正文顶部或底部强制插入一条醒目的“外部发件人”警告。这就像是在陌生人的信件上盖了一个红色的“警惕”印章，提醒员工不要轻易点击链接或下载附件。然而，研究人员发现，攻击者只需几行简单的HTML和CSS代码，就能让这枚“警惕印章”凭空消失。
这个漏洞的根源在于电子邮件安全网关的工作机制。许多企业网关在拦截和扫描可疑邮件时，并不是在邮件客户端的原生UI（用户界面）上添加警告，而是简单粗暴地将“外部发件人”警告作为一段HTML/CSS代码片段，直接注入到邮件的正文中。这就给了攻击者可乘之机：既然警告只是邮件内容的一部分，那么控制了邮件HTML代码的攻击者，自然也能控制它的显示与隐藏。
攻击者的手法非常直接。他们会在自己发送的钓鱼邮件中嵌入一段恶意的CSS样式代码。比如，通过设置 display: none、visibility: hidden，或者将字体大小设为0、透明度设为0，甚至将文本颜色设置为与背景完全相同，就能让包含警告的HTML元素在视觉上彻底隐形。更狡猾的是，攻击者还可以利用 text-indent: -9999px 将警告文本远远地移出屏幕可见区域。在收件人眼中，这是一封干干净净、没有任何风险提示的正常邮件；但在后台代码里，警告依然存在，只是被“隐形斗篷”盖住了。
这种攻击方式不仅限于隐藏警告，攻击者甚至可以篡改警告的措辞，将其伪装成无害的提示，从而进一步降低用户的防备心。由于这本质上是HTML邮件渲染机制的限制，而非某个特定邮件客户端（如Outlook、Gmail或Thunderbird）的代码漏洞，因此它几乎在所有支持HTML渲染的邮件客户端中都有效。
面对这种利用Web标准进行的“降维打击”，传统的邮件网关往往束手无策。目前，最彻底的解决方案是改变警告的呈现方式。例如，Microsoft Exchange 已经推出了原生的“外部”标签功能。启用后，外部邮件的警告将直接显示在邮件客户端的原生UI中，而不是作为邮件正文的一部分。这样一来，无论攻击者在邮件正文里如何施展CSS魔法，都无法触及和篡改客户端界面上的安全标签。
在全面普及原生标签之前，企业和个人仍需保持警惕。不要仅仅依赖邮件里的文字警告来判断发件人身份，更要学会查看邮件客户端原生显示的域名信息，对任何要求输入密码或点击陌生链接的邮件，保持“零信任”的态度。
评论已关闭