HTML附件成為惡意郵件的常用手段難以被識別為其首要特征

期以來，很多用戶可能會認為以郵件為載體的攻擊中，需要重點關注的應該是可執行文件以及.dll文件，但根據專注于郵件安全領域的美國Barracuda Networks調查發現，在網絡攻擊中，攻擊者使用的HTML附件是最多的，在其掃描到的威脅中占比達到了21%，其數量超過排名第二的TEXT（9%）兩倍以上。

風險難以被識別是HTML附件在攻擊者眼中的最大優勢

對于這一結果，Barracuda Networks方面表示，由于HTML附件本身并不是惡意的，攻擊者并不會在附件中包含惡意軟件，而是使用托管在其他地方的Java腳本庫進行多重重定向，因此這類攻擊很難檢測到。

在同類網絡攻擊中，HTML附件的使用越來越多，因為用戶和系統都很難識別攻擊。在Barracuda提供的示例中，HTML附件本身并不是惡意的，但最終會將用戶誘導到一個惡意站點。

如前文所述，HTML附件以21%的比例在BarracudaNetworks掃描到的威脅中排名第一，除了排名第二的TEXT（9%）之外，其他類型的排序大體如下供參考:

XHTML (4%)

二進制文件(0.3%)

腳本(0.08%)

Rtf (0.04%)

MS Office (0.03%)

PDF (0.009%)

Barracuda發現，攻擊者一直在用戶定期收到的電子郵件中嵌入惡意HTML文件，比如報告鏈接，而實際上這是一封帶有有害URL的網絡釣魚郵件。通過這種方法，攻擊者不再需要在電子郵件正文中添加鏈接，從而更容易被發現，相比之下，HTML附件的方式則可以更快地繞過反垃圾郵件和反病毒策略。

當這些文件被打開時，HTML使用Java腳本將用戶發送到第三方機器，要求用戶輸入他們的個人憑證來登錄或下載一個惡意軟件文件。這種方法也不需要攻擊者創建一個虛假網站來進行此類攻擊，而是可以直接創建一個嵌入在附件中的釣魚表單，將釣魚網站作為附件而不是鏈接發送出去。

如何保護系統免受惡意HTML附件侵擾

Barracuda強調了三個主要的技巧來幫助用戶避免成為這類攻擊的受害者:

1、確保自己正在使用的電子郵件保護解決方案可以掃描和阻止惡意HTML附件。

2、對用戶進行一定的安全教育，告訴他們如何識別和報告潛在的惡意HTML附件。

3、如果這類惡意郵件攻擊確實發生了，那么務必提前準備好事后的補救措施及相關工具。

在企業方面，投資于更強的電子郵件檢測和響應能力的解決方案可以防止這種惡意軟件進入企業內用戶的收件箱。在個人方面，如果其中一封電子郵件進入了收件箱，那么通過零信任模型，在組織的IT部門驗證它是安全的之前不要點擊任何東西，這樣可以為用戶和企業節省大量的麻煩。

者 | Mateusz Iwaniuk

譯者 | 明明如月，責編 | 夕顏

出品 | CSDN（ID：CSDNnews）

文章配套代碼: https://github.com/iwaniukooo11/email-sender

現在，即使是創建最基本的網站，程序員也必須使用現代的功能和技術。甚至像為你的朋友創建簡單的投資組合這樣的基本項目也可能涉及到一些問題，比如從聯系人表單接收數據。有很多方法可以讀取這些數據。你可以將表單與數據庫連接起來，然后從數據庫中讀取傳入的消息來實現功能，但這樣做會給不懂技術的客戶造成困難。

你為什么不通過發送電子郵件傳輸信息？

不使用數據庫就能接收到傳入的消息，絕對是最佳選擇，也是最方便用戶的選擇。但問題來了—如何實現呢？你可能認為需要使用某種后端語言。

實際上，你不必使用任何如 php 或 python 這種后端語言，你甚至不需要用到 node.js！你需要的就是一個簡單的EmailJS 庫。

本文將介紹下面兩個重要功能:

配置 emailjs 帳戶
使用 JS 發送電子郵件

請注意，在我的項目中，我使用了 gulp 和 webpack，我在 src 文件夾存放源碼，dist 存放最終發布版本的代碼。

我將分 5 個步驟向你展示如何從頭開始構建電子郵件發送器。

步驟1-用 HTML 創建表單

首先需要創建一個 HTML 表單。你不必放置像 required 或 max 這種驗證屬性，因為稍后，preventDefault 函數將在你的提交事件上運行，它會讓這些屬性的處理失效。

表單中最重要的是為每個輸入放置 name 屬性，后面會用到。

我的非常簡單的表單是這樣的:

src/html/index.html

 <form class="form"> <input name='name' type="text" placeholder="Your name..." class="form__input" /> <input name='topic' type="text" placeholder="Topic..." class="form__input" /> <textarea name='message' type="text" placeholder="Your Message..." class="form__input" ></textarea>

 <input type="submit" value="send" class="form__input form__input--button"> </form>

步驟2-注冊成為 email 用戶

要配置你的電子郵件，你必須注冊電子郵件服務。別擔心—使用這個網站非常方便和省時。

登入后，系統會詢問你的電子郵件服務，它位于個人電子郵件服務區（personal email service）。在我的例子中，我選擇了 gmail。

然后，你需要連接你的 gmail 帳戶。這將用來發送電子郵件給你客戶。例如，如果你關聯了 xyz@gmail.com 賬戶，你后續發送的郵件都將從這個郵箱發出。所以不要擔心“ Send email on your behalf” 這個授權信息—這正是你需要的！

連接完 gmail 賬戶后，點擊添加服務（add service）按鈕。

步驟3-創建郵件模板

如果你已經成功連接了你的 gmail 賬戶，你現在應該在信息中心中。現在需要創建電子郵件模板了。

切換到電子郵件模板卡，并單擊創建一個新的模板（create a new template）。界面非常友好，所以創建模板不會有任何問題。

你可以選擇模板的名稱和 ID。我稱之為“我的神奇模板（my_amazing_template）”。

接下來，你必須指定郵件的內容。

模板的變量值來自 input 中的 `name` 屬性。你已將變量插入`{{{}}}`符號中。

不要忘記在“收件人”部分 (右側) 添加電子郵件地址。你的電子郵件將被發送到該電子郵件地址上。截圖中的收件人郵箱是我自己的公司郵箱。

這是我的簡單模板，它使用來自 HTML 表單里的 3 個變量。我還指定了接收電子郵件的主題。

步驟4-保存 API 密鑰

這部分沒什么特別的。Emailjs 共享授權 API 密鑰，將在發送電子郵件時使用。當然，放這些鑰匙最好的地方是`.env` 配置。但是因為我使用的是簡單的靜態文件，我不想使用服務器配置，所以我將它們保存在 apikeys 文件中，然后再將它們導入。

你的 USER_ID 位于 Account > API Keys 菜單下。

TEMPLATE_ID 位于模板的標題下面。

這是我基于不存在的 keyssrc / js / apikeys. js 的示例配置.

src/js/apikeys.js

export default { USER_ID :'user_DPUd-rest-of-my-id', TEMPLATE_ID:'my_amazing_template'}

如果需要將源碼發布到 GITHUB，不要忘記將 APIKEYS 文件添加到 .GITIGNORE文件中

步驟5-發送電子郵件

現在是該項目最后也是最重要的部分的了?，F在我們必須使用 javascript 發送電子郵件。

首先，你必須下載 emailjs 包。

npm i emails-com

然后，轉到 js 文件，導入庫和 apikeys。

src/js/main.js

import emailjs from 'emailjs-com'import apiKeys from './apikeys'

現在是編寫發送電子郵件功能的時候了

src/js/main.js

const sendEmail = e => { e.preventDefault

 emailjs .sendForm('gmail', apiKeys.TEMPLATE_ID, e.target, apiKeys.USER_ID) .then( result => { console.log(result.text) }, error => { console.log(error.text) } )}

sendForm 函數有4個參數:

你的電子郵件的 ID，在這里:

TEMPLATE_ID 來自 apikey 文件,

事件對象來自你的表單提交

USER_ID 來自 apikey 文件,

最后，查找表單并添加提交事件監聽器：

src/js/main.js

const form = document.querySelector('.form')form.addEventListener('submit',sendEmail)

正如我前面提到的，由于 `preventDefault` 函數，屬性驗證將無法工作。你必須使用 JS 自己進行驗證和清除輸入。

以上就是全部內容，接下來讓我們測試一下。

填寫頁面上的表單并發送。

我收到電子郵件，內容正是根據我們的模板和表單數據渲染出來的。

通過上圖可以看出，所有的變量的值都填充到了正確的位置上。

總結

通過本文的介紹你會發現用 JS 發送郵件并非難事。

使用 emailjs，你可以簡單的方式發送電子郵件。

我相信你未來的用戶會很高興收到來自他們網頁上表單填寫數據的t郵件，相信本文對你有幫助。

這篇文章的配套代碼在這里: https://github.com/iwaniukooo11/email-sender

原文鏈接：

https://dev.to/iwaniukooo11/send-e-mails-directly-from-front-end-with-js-5d7d

本文為CSDN翻譯文章，轉載請注明出處。

?我們想研發一個機器學習框架，6 個月后失敗了

?生產型機器學習已經沒那么困難了？

?視頻 | 你不知道的"開源"60年秘史

?GitHub標星10,000+，Apache項目ShardingSphere的開源之路

?阿里技術專家告訴你，如何畫出優秀的架構圖？

?加拿大API平臺如何做到30%為中國明星項目？創業老兵這樣說……

TML常用標簽有：a標簽、table標簽、img標簽、form標簽和input標簽。

a標簽

作用

跳轉到外部網頁
跳轉到內部錨點
跳轉到郵箱或電話等

屬性

（一）href

href是hyper reference的縮寫，超鏈接的意思。

用于指定鏈接目標的ur地址，(必須屬性)當為標簽應用href屬性時，它就具有了超鏈接的功能；
href=“#”表示這是一個空鏈接；
如果href里面地址是—個文件或者壓縮包,會下載這個文件。

<a href="https://google.com">超鏈接到google網站的主頁</a>
 <a href="https://google.com">超鏈接到google的主頁</a>
 <a href="//google.com">超鏈接到google的主頁</a>

展現形式：

點擊此鏈接，即可到達google的主頁

a標簽href的取值：

1、上述代碼中的網址的取值(推薦使用第三行的代碼)

<a href="//google.com">超鏈接到google的主頁</a>

由于此方式能夠自動補齊相關的網絡地址，前面兩種寫錯就會報錯，所以推薦使用。

2、路徑

/a/b/c 或者是a/b/c

當前路徑下的a里面的b，b里面的c

index.html 以及./index.html

在當前目錄下尋找index.html文件

3、偽協議

javascript：代碼；（冒號與分號一定要寫）

<a href="javascript：;">點擊后無任何點擊或刷新等動作的反應</a>

錨點鏈接

<a href="#要跳轉的元素的id"></a>

點擊鏈接的時候，會跳轉到指定元素所在的位置。

mailto：郵箱

<a href="mailto:abcdefg@163.com ">發郵件給我</a>

tel：手機號

<a href="tel:12345678901">打電話給我</a>

（二）targe

用于指定鏈接頁面的打開方式

a的target取值

1、內置名字

_blank 在空白頁打開

_self 在當前頁面打開

_parent 在父級窗口打開

_top 在最頂級的窗口打開

<a href="//google.com" target="_blank">超鏈接到google網站的主頁在空白頁打開</a>

2、程序員的命名

window：name（在xxx頁面打開）

iframe的name（iframe現在已經很少使用了，是指內嵌窗口）

（三）download

下載頁面，但目前很少用，有的瀏覽器不支持，尤其是手機瀏覽器可能不支持。

table標簽

1、table標簽的語法：

thead:表頭

tbody:表的內容，用于定義

tfoot:表的腳部

tr:table row,表格里的行

th:表格的表頭部分，其中的文本內容字體加粗居中顯示

td:table data,表格數據，用于定義表格中的單元格

<!DOCTYPE html>
<html lang="zh-CN">
  <head>
    <meta charset="UTF-8" />
    <meta name="viewport" content="width=device-width, initial-scale=1.0" />
    <meta http-equiv="X-UA-Compatible" content="ie=edge" />
    <title>Document</title>
  </head>
  <body>
    <table>
      <thead>
        <tr>
          <th></th>
          <th>小紅</th>
          <th>小黃</th>
          <th>小藍</th>
        </tr>
      </thead>
      <tbody>
        <tr>
          <th>數學</th>
          <td>90</td>
          <td>60</td>
          <td>80</td>
        </tr>
        <tr>
          <th>語文</th>
          <td>88</td>
          <td>95</td>
          <td>97</td>
        </tr>
        <tr>
          <th>英語</th>
          <td>88</td>
          <td>95</td>
          <td>97</td>
        </tr>
      </tbody>
      <tfoot>
        <tr>
          <th>總分</th>
          <td>266</td>
          <td>250</td>
          <td>274</td>
        </tr>
      </tfoot>
    </table>
  </body>
</html>

第一行的th標簽為空

2、table的樣式

table-layout：auto；自動計算每一行的寬高

table-layout：fixed；通過列表的寬度來決定平均寬度

border-collapse：collapse；合并邊框(默認邊框與邊框之間不合并)

border-spacing：0；邊框為0.(邊框與邊框之間的距離)。

img標簽（圖片）

作用：發出get請求，展示一張圖片。

<img src="1.JPG" alt="頭像" width="400" />

當前路徑下的1.jpg，確定寬度為400，只寫寬度高度會自適應

屬性

alt：alternate的縮寫，替換的意思。替換文本，圖像不能顯示的文字。

路徑錯誤顯示alt內容

title：提示文本。鼠標放到圖像上，顯示的文字。

響應

max-width：100% 所有的圖片在手機上都自適應寬度，寬度最大為100%。

事件

onload/onerror 監聽圖片是否加載成功，加載成功時用onload，不成功是用onerror事件。確保在onerror事件能夠補救。

<body>
 <img id="xxx" src="dog.jpg" alt="一只小狗">
<script>
xxx.onload = function () {
console.log("圖片加載成功");
 };
xxx.onerror = function () {
console.log("圖片加載失敗");
xxx.src = "/404.jpg";
 };
</script>
</body>

監聽成功時，打印出成功

監聽失敗時，先打印出監聽失敗并且開始執行加載失敗是的挽救圖片。404.jpg文件執行

感想：

a標簽的默認樣式可以設置清除，href屬性可以有好多種取值，a標簽的意義也不僅僅是跳轉到一個網址，還可以發郵件打電話。
給img標簽設置寬度和高度時，不能讓圖片變形
table標簽必須按照thead,tbody,tfoot的結構去寫，先劃分好結構，再往里填充內容，即使tfoot寫在前面，也會顯示在頁面的尾部

本文為作者本人的原創文章，著作權歸作者本人和饑人谷所有，轉載務必注明來源。

在線咨詢

上一篇：21html模版里的if判斷語句
下一篇：「譯」來用 SVG 和 CSS 畫朵云彩吧

您的項目需求

*請認真填寫需求信息，我們會在24小時內與您取得聯系。

整合營銷服務商

HTML附件成為惡意郵件的常用手段 難以被識別為其首要特征

風險難以被識別是HTML附件在攻擊者眼中的最大優勢

如何保護系統免受惡意HTML附件侵擾

步驟5-發送電子郵件

總結

a標簽

table標簽

img標簽（圖片）

感想：

您的項目需求

HTML附件成為惡意郵件的常用手段難以被識別為其首要特征