Foxmail 經典版（5.x/6.x）十大安全漏洞與防護對策

作為國產郵件客戶端標桿，Foxmail 雖體貼好用，但早期版本存在多項安全隱患。本文系統梳理十大漏洞原理、實測利用方式與針對性防護建議，供用戶自查與開發者參考。

一、帳號切換漏洞：複製 Account.stg 繞過訪問密碼

原理：帳號訪問密碼僅存在 Account.stg 中。新建無密碼帳號，複製其 Account.stg 覆蓋目標帳號同名檔，即可免密進入。

更簡單利用：直接刪除/重命名目標帳號資料夾下的 Account.stg，鎖頭圖示消失，同樣免密進入（但帳號屬性遺失）。

防護：

• 公用電腦使用後刪除帳號資料夾。
• 自訂郵箱路徑至隱蔽目錄（如 C:\Windows\System32\MyMail）並設為隱藏屬性。
• 壓縮加密整個郵箱資料夾（WinRAR/7-Zip 設強密碼），用時解壓，畢再壓。
• 建議官方參考 OE/Winbox 採用中央加密資料庫管理帳號，而非分散明文設定檔。

二、帳號口令明文比對漏洞：動態調試輕鬆獲取明文

原理：驗證邏輯採明文比對，使用 SoftICE/TRW2000 等調試器跟蹤斷點即可攔截明文密碼。網上流傳破解工具即基於此原理。

擴展風險：POP3 協定本身明文傳輸，區域網路嗅探（NetXRay/Wireshark 過濾 POP 協定）即可捕獲帳號密碼與信件內容。

防護：

• 公共網絡環境下避免使用 POP3，改用 Webmail（HTTPS）或啟用 SSL/TLS 加密連線（POP3S 995 / SMTPS 465）。
• 發現網段運行嗅探工具時暫停收發郵件。
• 建議官方：加殼、反調試、改用雜湊比對而非明文比對。

三、冒名寄信漏洞：設為預設帳號 + 「發送到」繞過密碼

利用：將加密帳號移至帳號列表最頂端成為預設帳號 → 資源管理器任意檔案右鍵「發送到→Foxmail」 → 自動以該帳號開啟寫信視窗 → 填寫收件人發送，完成冒名。

防護：使用完畢立即刪除帳號（下次重建），或同上物理隔離措施。

四、地址簿明文洩露

現象：冒名寄信視窗中點擊「收件人/抄送」可直接瀏覽完整通訊錄；Address 目錄下 .IND/.BOX 檔案以明文/弱編碼儲存聯絡人詳細資料，記事本即可讀取。

防護：同漏洞一、三物理隔離方案。

五、郵箱密碼加密密文不保：固定金鑰 ~draGon~ 可逆向還原

技術細節：Account.stg 中 POP3Password= 為定長加密密文。金鑰 ~draGon~ (ASCII 7E 64 72 61 47 6F 6E 7E) 公開，密文每兩位一組與金鑰異或即得明文。密碼長度 = 密文長度/2 - 1。

防護：不勾選「記住密碼」，清空密碼欄使 POP3Password= 為空，根除密文外洩源頭。

六、郵件內容明文儲存

.box 郵件資料庫無加密，直接可讀。防護同前：加密磁碟/資料夾。

七、附件暫存目錄殘留

開啟附件時解壓至暫存目錄（Temp），關閉 Foxmail 後未必自動清理，敏感文件殘留風險。防護：定期清理 Temp、使用加密虛擬磁碟掛載為暫存目錄。

八、HTML 郵件腳本執行風險

早期版本郵件預覽區渲染 HTML 可能執行腳本/ActiveX。防護：選單「工具→選項→安全」→勾選「限制 HTML 郵件腳本執行」/「以純文字顯示」。

九、自動更新機制劫持風險

舊版更新檢查採 HTTP 明文下載安裝包，中間人可植入惡意程式。防護：手動官網下載更新、驗證簽名。

十、插件/擴展機制缺乏簽名驗證

第三方插件載入無簽名校驗，惡意插件可竊取郵件/密碼。防護：僅安裝官方/可信來源插件。

綜合防護清單（給普通用戶）

1. 不勾選「記住密碼」，每次手動輸入。
2. 啟用 SSL/TLS 加密連線（POP3S/SMTPS/IMAPS）。
3. 資料目錄放入 VeraCrypt/加密隨身碟，用畢卸載。
4. 公用電腦：用完刪除帳號資料夾或攜帶 Portable 版。
5. 定期備份 Mail 目錄異地加密存儲。
6. 啟用系統防火牆、殺毒即時掃描、郵件附件自動掃描。
7. 重要帳號啟用雙因子驗證（郵箱服務商支援時）。

安全無絕對，唯有層層防禦與良好習慣，方能最大程度守護郵件隱私。