是否在Outlook的通知API上为所有用户提供唯一的订阅ID？ - 腾讯云开发者社区

文章/答案/技术大牛

发布

你的日历正在“出卖”你？新型钓鱼攻击借力日历订阅功能悄然渗透数百万设备

而在中国，随着iCloud、Google Calendar、Outlook等跨平台日历服务在企业和个人用户中的普及，类似风险已悄然逼近。...例如，在圣诞节前夕推送“您的包裹延迟，请点击确认地址”，或在世界杯期间发送“免费观看直播链接”。“这本质上是一种持久化社会工程通道，”芦笛评价道，“用户一旦订阅，就等于给攻击者发了一张长期通行证。”...首先，跨国企业员工普遍使用Google Calendar或Outlook，这些平台完全支持外部日历订阅。其次，国内部分电商平台、票务网站也提供“添加到日历”功能（如大麦网、携程），用户已形成订阅习惯。...用户自查：清理“数字杂物”普通用户应定期检查已订阅日历：iOS：设置 > 日历 > 账户 > 订阅的日历Android：Google日历App > 设置 > 所有日历 > 取消可疑订阅Windows：Outlook...六、结语：便利与风险，只在一“订”之间日历订阅功能的初衷是提升效率，让用户无缝获取重要日程。但正如所有开放接口一样，它在带来便利的同时，也打开了新的攻击面。

1831 0

MICROSOFT EXCHANGE – 防止网络攻击

Microsoft Exchange 服务器是威胁参与者的常见目标，不仅因为它们提供了多个入口点，而且因为它们在绑定到 Active Directory 时提供了持久性和域升级的机会。...为所有暴露的服务（如 Outlook Web Access、Exchange Web 服务和 ActiveSync）启用 2 因素身份验证将防止威胁参与者：访问用户邮箱并收集敏感数据以更高的成功率进行内部网络钓鱼攻击...Benjamin Delpy在 Twitter 上提出了一种通过将MaxSubscriptions设置为零来缓解漏洞的替代方法。此设置将阻止 Exchange 发送任何 EWS 通知。...或者，如果需要身份验证，可以将 Microsoft Exchange 配置为拒绝所有域帐户的传入 NTLM 流量。...展望主页 Outlook 主页功能可用于注入将在用户系统上执行任意有效负载的页面。在浏览邮箱文件夹或重新启动 Microsoft Outlook 时将触发有效负载。

5.9K1 0

您找到你想要的搜索结果了吗？

是的

没有找到

salesforce零基础学习（八十五）streaming api 简单使用（接近实时获取你需要跟踪的数据的更新消息状态）

一.Stream API简单介绍 Streaming API提供了两种功能，一种为基于Salesforce数据改变，对订阅的客户端进行通知推送，另一种是不基于Salesforce数据改变，对订阅的客户端进行通知推送...通知推送不止可以应用于salesforce系统，其他系统等也可以通过oauth等连接后接收到通知推送，感兴趣的可以查看API提供的内容。...：指定数据哪种事件操作会生成通知，在api version 29以后，此字段为只读字段； NotifyForOperationCreate：Create操作是否会生成通知，api29以后可用； NotifyForOperationDelete...如果订阅是在页面或者组件中使用，可以使用Cometd进行操作，Cometd提供了基本方法用来实现客户端订阅操作，详见Cometd API。...当你订阅一个渠道后，你并不想接收所有的数据，比如对于客户信息，不同的人员更关注自己的客户的变化信息，这是你可以在订阅的URL后添加filter对事件通知进行过滤，推送你需要的通知信息。

2.2K8 0

基于 Web 推送通知的浏览器持久化攻击机制与防御体系研究

在此基础上，提出融合策略强制、运行时监控、权限审计与用户行为引导的纵深防御框架，并通过组策略（GPO）、MDM 配置脚本及浏览器扩展原型代码，验证关键技术控制点的可行性。...HTML5 引入的 Web Push API 允许网站在用户关闭标签页后仍能发送系统级通知，极大提升了用户体验。然而，这一机制亦被攻击者武器化。...3 现有防御机制的局限性3.1 用户权限决策的不可靠性浏览器将通知权限完全交由用户判断，但实证研究表明：超 60% 的用户在未理解后果的情况下点击“允许”；攻击者通过 UI 欺骗（如将“拒绝”按钮设为灰色...例如：无法识别 Service Worker 是否注册了异常 endpoint；不能分析通知 payload 中的 URL 是否指向已知恶意域；未关联用户代理、地理位置与推送频率等上下文特征。...其成功暴露了当前 Web 安全模型在权限委托机制上的根本缺陷——过度依赖用户判断，而忽视自动化策略与运行时防护。

2311 0

Microsoft Exchang—权限提升

存在此漏洞是因为Microsoft Exchange的设计允许任何用户指定推送订阅的URL，Exchange将向此URL发送通知。...收件箱权限这时我们添加目标帐户以拥有邮箱的权限。这是检索帐户的SID（安全标识符，是标识用户、组和计算机帐户的唯一的号码）的必要条件 ? 3....电子邮件自动转发通过NTLM中继对Exchange进行身份验证，为目标用户创建一条规则，该规则会将所有的电子邮件转发到另一个收件邮箱之中。因此可以通过检查目标用户的收件箱规则来进行验证 ?...image.jpeg 特权升级脚本在脚本执行完成之后，会显示一条消息来通知用户Outlook或者Outlook Web Access门户显示目标账户的邮箱 ?...Outlook Web Access身份验证 Outlook Web Access具有允许Exchange用户在拥有权限的情况下打开另一个账户的邮箱 ?

3K4 0

Outlook紧急安全防护：全面解析CVE-2023–23397权限提升漏洞及其防御策略

该漏洞公开后，许多安全公司、研究人员和威胁猎手都在研究这个Outlook漏洞。你猜对了。我们正在讨论的是严重的Microsoft Outlook漏洞，其CVE ID为CVE-2023–23397。...此漏洞最危险的方面在于：利用它不需要用户交互，它影响所有Windows版本的Outlook，并且它提供了简单的自动化利用方式，允许进行大规模攻击。...一旦提醒被触发，他们的哈希就会被泄露。此漏洞影响Windows上的所有Outlook版本。...Web Services API枚举和修改用户邮箱文件夹的权限。...访问我们的网站thesecmaster.com，以及我们在Facebook、LinkedIn、Twitter、Telegram、Tumblr、Medium和Instagram上的社交媒体页面并订阅以接收此类更新

1081 0

WWDC21 - App Store Server API 实践总结

作者：iHTCboy 关于 App Store 用户退款时并没有通知开发者，直到 2020 年 6 月苹果提供了退款通知，但是因为不是 API 方式，导致开发者不一定能收到退款通知。...} Send Consumption Information：当用户申请退款时，苹果通知（CONSUMPTION_REQUEST）开发者服务器，开发者可在12小时内，提供用户的信息（比如游戏金币是否已消费...（相当于免费给用户增加订阅时长） 2.2 接口参数说明 App Store Server API 是苹果提供给开发者，通过服务器来管理用户在 App Store 应用内购买的一套接口（REST API）...当用户申请退款时，苹果通知（CONSUMPTION_REQUEST）开发者服务器，开发者可在12小时内，提供用户的信息（比如游戏金币是否已消费、用户充值过多少钱、退款过多少钱等），最后苹果收到这些信息，...详细可以查看我们之前的文章内容了解更多。用户提交退款申请，苹果系统会于 48 小时内在报告问题中更新处理结果。所以，开发者收到用户退款通知后，有 12 个小时决定是否要提供防欺诈信息给苹果。

14.1K3 1

微软365与Office 2019相比有什么不同

在我们继续比较价格之前，让我们先看看他们提供了什么。 Microsoft 365 提供什么？ Microsoft 365（以前称为 Office 365）是按用户订阅。...但是，在 Microsoft 365 之外，OneDrive 唯一可用的升级是 100GB 存储空间，每月 2 美元。我们将使用它作为附加组件。...同时，Microsoft 365 Home 每年 100 美元导致五年的成本为 500 美元。 Office 2019 家庭和学生版的唯一成本是一台 PC 的初始 150 美元。...现在我们已经查看了 1 年、5 年和 10 年的成本，Office 2019 或 Microsoft 365 是否提供更好的价值？这取决于您的需求。...同时，Microsoft 365 个人版可让您在所有设备上安装 Office，而家庭版最多可让六个人在他们的所有设备上安装它。

4.2K4 0

超级细胞极简大型社交网络内部

Supercell ID的起源 Supercell ID最初是一个基本的账户系统——帮助用户找回账户并将账户转移到新设备。它最初实现为一个相对简单的HTTP API。...例如，‘您是否批准此好友请求？’为此，有一个用于通知的事件队列。我们会将事件发布到那里，游戏后端将使用游戏套接字将通知转发给客户端。”...将Supercell ID发展为跨游戏社交网络此时，后端的社交网络方面仍然是一个人的项目，因此团队在设计时考虑到了简洁性。引入了抽象。...深入系统架构让我们以 Fagerholm 提供的系统架构之旅作为结束。后端被分割成API、代理和事件路由/存储服务器。主题存在于事件路由服务器上，并在它们之间进行分片。...路由层的API是一个简单的事后RPC，包含一批主题、类型、键、值元组。每个API的工作只是将它们的数据重写为上述元组表示。每个事件在广播给订阅者之前都会写入ScyllaDB。

4311 0

基于iCloud日历的回拨型钓鱼攻击机制与防御对策研究

通过实际代码示例展示日历事件元数据分析、异常外呼行为建模及MDM策略自动化部署等关键技术，为组织应对非邮件渠道钓鱼威胁提供可操作的技术路径。...攻击者向目标Apple ID发送伪装为账单异常、订阅续费失败或账户安全锁定的日历事件邀请。...当日历邀请从外部Apple ID或通过WebDAV接口创建时，iCloud服务器会向目标用户推送通知。...我们检测到您的账户存在异常登录，为保护您的数据，请提供最近收到的验证码。”通过此话术，攻击者可获取2FA验证码，进而重置Apple ID密码。...AnyDesk、Chrome Remote Desktop）；启用通知来源显式标识：推动Apple在通知中显示完整发件人邮箱（当前仅开发者可申请测试版API）。

2261 0

WWDC22 - In App Purchase 更新总结

1、2 2022 年 1 月 14 日针对在荷兰 App Store 上分发的约会 App 的更新荷兰消费者和市场管理局（ACM）允许荷兰 App Store 上的约会 App 开发人员与用户共享额外的付款处理选项...App 交易内容，但是刷新时，系统会弹窗提示用户可能需要重新授权认证 Apple ID 账号，所以建议是提供用户操作的按钮，由用户主动发起调用。...通过阅读器 App，用户可以登录他们在 App 之外创建的帐户，从而可以在用户的 Apple 设备上阅览和畅读先前购买的媒体内容或内容订阅。...History 查询用户内购退款，获取 app 中为用户退款的所有应用内购买项目的列表。...当您提高订阅价格时，Apple 会询问受影响的订阅者是否同意这个新价格，您可以在价格变动生效之前跟踪用户的同意状态。

6.5K9 0

云邮箱钓鱼攻击趋势与企业防御体系重构

此类攻击尤其针对财务、HR等高频使用审批系统的部门。2.3 身份层突破：从凭证窃取到会话劫持传统钓鱼目标为用户名与密码，但在MFA普及背景下，攻击者转向更高效的会话令牌窃取。...典型流程如下：用户在钓鱼页面输入凭据；攻击脚本实时将凭据转发至真实登录接口，完成身份验证；获取有效的会话Cookie或OAuth 2.0访问令牌；直接注入浏览器或API调用，绕过MFA校验。...用户注册时，设备生成唯一密钥对，私钥永不离开安全芯片（如TPM、Secure Enclave）。登录时，服务端发送挑战，客户端用私钥签名响应，全程无密码传输。...以Microsoft Entra ID（原Azure AD）为例，启用Passkeys的PowerShell脚本如下：# 启用FIDO2安全密钥作为登录方法Set-MgPolicyAuthenticationMethodPolicy...关键措施包括：自动化会话吊销：通过API批量注销用户所有活动会话；凭据紧急重置：强制更改密码并撤销刷新令牌；行为回溯：利用审计日志定位首次异常活动时间点。

2251 0

微信小程序通过关联公众号发送待办消息：实战指南

绑定完成后，同一用户在不同应用中的身份将通过 UnionID 实现统一识别。 UnionID 是微信为同一微信用户在同一个开放平台账号下的多个应用分配的唯一标识。...，是否允许公众号进行跳转三、核心实现步骤步骤一：获取用户的 UnionID 并建立身份映射要实现跨应用消息推送，核心在于找到目标用户在公众号侧的 OpenID。...OpenID检查用户是否关注公众号40037template_id 不正确核对模板 ID 是否准确43004用户未关注公众号提示用户先关注45009接口调用频率超限控制发送频率，加入队列机制四、重要注意事项与最佳实践...消息频率与用户体验公众号模板消息有每日群发限制（通常为无上限，但单用户不可高频打扰）。微信会对频繁发送无关通知的账号进行限流或封禁。建议：按需发送、内容简洁、提供退订机制。5....→ 调用 API 发送推荐场景待办提醒、审批通知、预约提醒、订单状态变更等强提醒场景通过以上方案，你可以实现从微信小程序触发，向用户推送高到达率的公众号服务通知，显著提升关键信息的触达效率。

1.3K2 3

E5 自动订阅程序

需要登录管理员账号，再点击代表XX授予管理员同意这个时候api的配置就算完成了 2、添加key到自动订阅程序进入 https://e5.qyi.io/ 这里需要github账户登录，同样的...，我只能获取你在 github中的用户id、用户名等基础信息(邮箱获取不了)，其他的任何信息也获取不到(可自行尝试注册一个github Apps测试)。...点击图标登录后进入主页面点击新建名称随意输入，只是个标识而已描述可空点击配置填入上一步记录的应用程序(客户端)ID、客户端密码 client_id ->应用程序(客户端...)ID client_secret->客户端密码点击下一步进行配置调用时间，说明：单位秒（最低调用频率为 60 秒,最高为6小时），例如: 30-60,代表在30秒-60秒之间随机调用一次...(因为在这一步我能获取到授权的outlook账户邮件，但是程序不会保存，仅仅是调用api。)以免在以后发生误会。点击接受后，将会跳转回自动订阅程序。到此时，授权就完成了。

2.3K0 0

Google Play In-app Billing

产品类型使用本服务你能卖两种产品：应用内产品和订阅两种产品的账单特性完全不同，但是我们的API能让你使用同样的通信模型、数据结构、用户交互来处理他们，后面会讲到。...一旦用户购买一个订阅后，Google Play继续无限期地为这个产品标价，不会请求用户的确认。用户能在任何时候取消这个订阅。只能使用“限定账号”的方式。...Google Play App同步响应所有支付请求，为你的App提供状态通知等等信息。Google Play App 也异步响应一些账单请求，为你的App提供出错消息和交易细节。...PURCHASE_INTENT 键提供一个 PendingIntent, 你的App利用它来为给定的产品ID生成一个结账的UI。...在Android 3.0平板上，需要安装5.0.12或更高版本的MyApps。 • 运行Android 1.6 (API level 4)或更高版本的设备才能使用应用内支付。

5K3 1

来看看美帝人民的安全意识：安全研究人员指责iOS版Outlook存在多处安全隐患

安全隐患一：云端存储用户登录信息 Winkelmeyer在安装iOS版Outlook应用程序时，发现它会询问用户是否接收推送通知，这有点匪夷所思。...其实大致是这样的，作为一个收信工具，Outlook应该只与邮件服务器通信，但是在iOS上他没有实时推送的权限，这时候一个收信工具的实时性就出了问题，总不能用户半小时手工去刷一次吧？...但是微软新开发的iOS版Outlook却不一样，所有用户的设备使用同一个ID，就如同一台设备，管理员根本无法区分每个用户的设备，根本分不清哪些是正常访问哪些是恶意访问。...用户可以建立个人Outlook账户并共享所有邮件的附件到这些服务器上；或者直接在服务器上使用他们公司邮箱账户里的文件。...他建议管理员通知所有的员工不要使用iOS版 Outlook 应用程序，并禁止该应用程序访问公司邮箱服务器。

2.2K8 0

React Router核心依赖--history库

为了标示页面发生的变化，方便刷新后依然能显示正确的页面元素，一般会通过改变url的hash值来唯一定位页面。但这会带来另一个问题：用户无法使用前进/后退来切换页面。...，并保持统一的api 支持发布/订阅功能，当history发生改变的时候，可以自动触发订阅的函数提供跳转拦截、跳转确认和basename等实用功能再对比一些两者api的异同。...const action = "POP"; // 给用户展示确认跳转的信息（如果有的话），确认后通知订阅者。...变更的逻辑，一句话概括就是：订阅hash变更事件，判断是否确实要变更，如需变更则更新自己的属性，通知订阅者，不需变更则回退到之前的状态。...，memoryHistory，并保持统一的api 支持发布/订阅功能，当history发生改变的时候，可以自动触发订阅的函数提供跳转拦截、跳转确认和basename等实用功能虽然history库是React

1.1K2 0

【分享】在集简云上架应用如何配置一个触发动作？

key做为字段名称动作Key：用于接口调用时的唯一字段标识，字段key应该为英文字母，例如API_Key，用户在前端不可见此字段动作功能描述：描述此动作的功能，用户可以在前端看到此动作功能描述，示例：当有新增订单时同步数据并触发流程.../crm/help/developer/api/subscription/enable.html 配置接口参数：注意：事件订阅地址为集简云系统自动生成，您只需要填写一个订阅地址变量{{bundle.targetUrl...唯一ID: 数据列表中的每条数据需要一个唯一ID，集简云将使用这个ID作为数据排重的依据。...Zoho CRM查询记录列表接口的排序字段为“sort_order”, 因为我们需要查询最新的数据，因此我们需要使用倒序，字段值填写“desc”从Zoho CRM的接口文档可以看到每条数据都有一个唯一ID...: id因此我们在“数据唯一标识”字段填写“id”更多关于接口中常用的变量，可以参考文档：编译变量&使用方式集简云在Jinja2模版语法的基础之上，提供了一些自定义的模版函数，如下： Jinja2

1.8K2 0

如何从Django应用程序发送Web推送通知

步骤7 - 注册服务工作者和订阅用户以推送通知 Web推送通知可以在订阅了应用程序的更新时通知用户，或者提示他们重新使用他们过去使用过的应用程序。它们依赖于两种技术，即推送 API和通知 API。...这两种技术都依赖于服务工作者的存在。当服务器向服务工作者提供信息并且服务工作者使用通知API显示此信息时，将调用推送。我们将订阅我们的用户推送，然后我们将订阅的信息发送到服务器进行注册。...接下来，在registerSw函数下方添加以下代码，以检查用户是否有资格在尝试订阅之前接收推送通知： ... ...您现在已经创建了一个服务工作者并将其注册为路由。接下来，您将在主页上设置表单以发送推送通知。第9步 - 发送推送通知使用主页上的表单，用户应该能够在服务器运行时发送推送通知。...您还完成了获取从应用程序服务器发送推送通知所需的VAPID密钥的步骤。结论在本教程中，您学习了如何使用通知API订阅用户以推送通知，安装服务工作者和显示推送通知。

12.4K11 5

2025年邮件营销平台终极指南：腾讯云SES如何成为企业新宠？

摘要在数字化营销浪潮中，邮件推送仍是触达用户的核心渠道。本文对比主流平台功能特性，结合腾讯云邮件推送（SES）最新升级，解析其高送达率、灵活部署等优势，为企业提供选型参考。...订阅制（$6.5起/月）基础转化率追踪 Sendinblue 92%-95% SMTP/API/网页插件...场景1：跨境电商促销需求：多语言邮件触达欧美用户，保证@outlook高送达率方案：使用SES全球节点自动匹配最优线路调用营销模板库生成多语言内容通过API对接订单系统实现订单确认自动推送...场景2：金融行业通知需求：合规发送交易提醒，投诉率低于0.1% 方案：启用AD标识+退订管理功能配置双重验证发送流程使用敏感词过滤系统四、选型建议企业类型...结语在2025年邮件营销「精准化+合规化」趋势下，腾讯云SES凭借97%送达率、三重安全防护、灵活API生态，成为企业降本增效的基础设施级选择。

4291 0

点击加载更多

你的日历正在“出卖”你？新型钓鱼攻击借力日历订阅功能悄然渗透数百万设备

MICROSOFT EXCHANGE – 防止网络攻击

salesforce零基础学习（八十五）streaming api 简单使用（接近实时获取你需要跟踪的数据的更新消息状态）

基于 Web 推送通知的浏览器持久化攻击机制与防御体系研究

Microsoft Exchang—权限提升

Outlook紧急安全防护：全面解析CVE-2023–23397权限提升漏洞及其防御策略

WWDC21 - App Store Server API 实践总结

微软365与Office 2019相比有什么不同

超级细胞极简大型社交网络内部

基于iCloud日历的回拨型钓鱼攻击机制与防御对策研究

WWDC22 - In App Purchase 更新总结

云邮箱钓鱼攻击趋势与企业防御体系重构

微信小程序通过关联公众号发送待办消息：实战指南

E5 自动订阅程序

Google Play In-app Billing

来看看美帝人民的安全意识：安全研究人员指责iOS版Outlook存在多处安全隐患

React Router核心依赖--history库

【分享】在集简云上架应用如何配置一个触发动作？

如何从Django应用程序发送Web推送通知

2025年邮件营销平台终极指南：腾讯云SES如何成为企业新宠？

相关资讯

热门标签

活动推荐

运营活动

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐