这封垃圾邮件，是如何通过正规 tencent dot com 邮箱发出来的？

[woomly]

如图所示，这明显是一封垃圾邮件，它是如何通过腾讯官方域名邮箱发送出来的？据我所知：

1. 从安全角度看，发件人必须是 authorized email 才能发送
2. from 字段即便是“借用”别人邮箱，发出来的邮件，应该有 email send via [e-mail] 字样（但这个没有）。

[serco]

from 可以随便填的啊

[ysc3839]

看图中这个内容，可能是利用正常邮件，在付款方名称里写广告。

[ysc3839]

@serco 是可以随便写，但正常的邮箱应该会检查 spf 之类的。

[wevsty]

应该有 email send via [e-mail] 字样
这个其实是腾讯邮箱自己的提示，标准里是没有这种东西的，这里不知道腾讯自己的处理逻辑是什么。

如果要知道为什么会这样显示，直接看邮件头的源码才好猜测。

[yanqiyu]

> 从安全角度看，发件人必须是 authorized email 才能发送
说不准，可能 QQ 邮箱没有严格验证 spf 和 DKIM ，也可能是因为 _dmarc.tencent.com 被设置了 p=none 于是哪怕验证没通过也放行邮件

[6IbA2bj5ip3tK49j]

这就是官方邮件。别人付款方就叫这个名字。

[mercury233]

1. 找到一家审核不严的电子发票服务商
2. 搞到一个皮包公司的资质，在电子发票服务商建立账号
3. 虚开发票给另一个皮包公司或者个人，收票人写你的邮箱，备注写广告内容，你的图上这里可能还有付款方名称没有校验的漏洞
4. 电子发票服务商完全正规的发送邮件给你

[jenlors]

应该就是利用开发票的方式打广告，开发票的行为是正常的，但是里面的内容是广告

[woomly]

@long2ice 嗯，应该是这样的，是我想多了

[woomly]

@mercury233 妙啊～

[jenlors]

感觉可以向微信举报试试

[hafuhafu]

这些搞发票广告的鬼点子可真多，我之前用 126 邮箱，收到过利用 126 邮箱系统的退信系统来打发票广告的。

[skiy]

“代发”没成本。还好中国用邮箱的普通民众不多，要不真的很多可能会上当受骗的。

[duhui]

印象中 QQ 邮箱是检查 spf 的吧

[adsldaO2]

这应该是伪造官方发的，能贴出邮件原文看一下吗

[Jackm]

@mercury233 正解，腾讯自己的漏洞，也没有验证数字签名（ PS：这么一说，好像大部分对这一方面都没有验签）

[Jackm]

PDF 附件能发上来么？

[woomly]

@Jackm 能，附件有 PDF

[woomly]

@adsldaO2 我看了邮件原文，不是伪造的

[litblue]

官方的邮件，因为存在 ugc 内容，即发票信息。导致被利用。