文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

Python 自动化指南（繁琐工作自动化）第二版：十八、发送电子邮件和短信

使用 Gmail API 发送和接收电子邮件 Gmail 拥有将近三分之一的电子邮件客户端市场份额，你很可能至少有一个 Gmail 电子邮件地址。...EZGmail 是我编写的一个模块，它工作在官方 Gmail API 之上，并提供了一些功能，使从 Python 使用 Gmail 变得很容易。...这些措施防止 Python 脚本使用smtplib和imapclient模块登录电子邮件帐户。然而，其中许多服务都有 API 和特定的 Python 模块，允许脚本访问它们。...EZGmail 模块充当 Gmail API 的方便包装器，让您的 Python 脚本访问您的 Gmail 帐户。...在使用 Gmail API 时，有哪些credentials.json和token.json文件？ 在 Gmail API 中，“线程”和“邮件”对象有什么区别？

15.2K40
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    使用CredSniper窃取红队行动中的2FA令牌

    使用CredSniper窃取红队行动中的2FA令牌Mike Felch // 随着越来越多组织强制要求使用双因素认证(2FA)来访问GSuite和OWA等外部服务，红队和渗透测试团队需要创新技术来捕获2FA...多年来，出现了多种获取2FA令牌的攻击方式，如伪造手机GSM信号、暴力破解令牌，或寻找禁用多因素认证的遗留门户。近期，攻击者开始通过社会工程诱骗受害者通过短信发送令牌。...模块定义了模板与路由的映射关系，例如访问/login时会加载认证流程相应阶段的模板。CredSniper的核心思想是：在后台与真实门户交互时同步获取目标输入的2FA短信令牌。...API集成CredSniper提供轻量级API，支持快速消费易过期的2FA令牌。API功能包括：查看凭证（GET）：https:///creds/view?...api_token=API令牌>更新配置（POST）：https:///configundefined请求体示例：{ "enable_2fa": true, "module": "gmail

    24010

    使用OAuth 2.0访问谷歌的API

    首先，获得来自OAuth 2.0用户端凭证谷歌API控制台。那么你的客户端应用程序请求从谷歌授权服务器的访问令牌，提取令牌从响应，并发送令牌到谷歌的API，您要访问。...如果用户授予许可，谷歌授权服务器发送您的应用程序的访问令牌（或授权代码，你的应用程序可以使用，以获得访问令牌）。如果用户不授予权限，服务器返回一个错误。...后的应用程序获得的访问令牌时，它发送所述令牌的谷歌API在HTTP授权头。它可以发送标记为URI查询字符串参数，但我们不建议这样做，因为URI参数可以在没有完全安全的日志文件结束。...你可以，但是，发送访问令牌的Google+ API多次进行类似的操作。 4.刷新访问令牌，如果需要的话。 访问令牌寿命有限。...然后，应用程序将令牌发送请求到谷歌的OAuth 2.0授权服务器，它返回的访问令牌。该应用程序使用令牌来访问谷歌的API。当令牌过期后，应用重复该过程。 有关详细信息，请参阅服务帐户的文档。

    6.4K10

    OAuth 详解 什么是 OAuth?

    基本身份验证仍然用作服务器端应用程序 API 身份验证的原始形式：用户发送 API 密钥 ID 和密码，而不是在每次请求时向服务器发送用户名和密码。...您正在做的是使用刷新令牌获取新的访问令牌，并且访问令牌通过网络访问所有 API 资源。每次刷新访问令牌时，您都会获得一个新的加密签名令牌。密钥轮换内置于系统中。 OAuth 规范没有定义令牌是什么。...然后将授权传递给令牌端点。令牌端点处理授权并说“很好，这是您的刷新令牌和访问令牌”。 ? 您可以使用访问令牌来访问 API。一旦它过期，您将必须使用刷新令牌返回到令牌端点以获取新的访问令牌。...Front Channel 完成后，会发生 Back Channel Flow，将授权代码交换为访问令牌。 客户端应用程序使用机密客户端凭据和客户端 ID 向授权服务器上的令牌端点发送访问令牌请求。...在此流程中，您向客户端应用程序发送用户名和密码，然后它从授权服务器返回访问令牌。它通常不支持刷新令牌，并且假定资源所有者和公共客户端在同一台设备上。

    7.2K20

    从0开始构建一个Oauth2Server服务 用户登录及授权

    但是，如果您登录到将从您的 Gmail 帐户发送电子邮件的第三方邮件列表应用程序，那么作为用户的您了解该第三方应用程序将被授予访问权限的内容以及它将是什么变得至关重要可以使用您的帐户。...如果不存在任何范围，但您的服务仍授予对用户帐户的一些基本级别的访问权限，则您应该包含一条消息来描述应用程序将获得的访问权限。...如果省略范围意味着应用程序唯一获得的是用户标识，您可以包含一条消息，表示“此应用程序需要您登录”或“此应用程序需要了解您的基本个人资料信息”。 有关如何在服务中有效使用范围的更多信息，请参阅范围。...请求的或有效的生命周期 授权服务器必须决定授权的有效期、访问令牌的持续时间以及刷新令牌的持续时间。 大多数服务不会自动使授权过期，而是希望用户定期查看和撤销对他们不想再使用的应用程序的访问权限。...这可以是简单的一句话，比如“此应用程序将能够访问您的帐户，直到您撤销访问权限”或“此应用程序将能够访问您的帐户一周”。有关令牌生命周期的更多信息，请参阅访问令牌生命周期。

    95330

    开发中需要知道的相关知识点:什么是 OAuth?

    基本身份验证仍然用作服务器端应用程序 API 身份验证的原始形式：用户发送 API 密钥 ID 和密码，而不是在每次请求时向服务器发送用户名和密码。...您正在做的是使用刷新令牌获取新的访问令牌，并且访问令牌通过网络访问所有 API 资源。每次刷新访问令牌时，您都会获得一个新的加密签名令牌。密钥轮换内置于系统中。 OAuth 规范没有定义令牌是什么。...然后将授权传递给令牌端点。令牌端点处理授权并说“很好，这是您的刷新令牌和访问令牌”。 您可以使用访问令牌来访问 API。一旦它过期，您将必须使用刷新令牌返回到令牌端点以获取新的访问令牌。...Front Channel 完成后，会发生 Back Channel Flow，将授权代码交换为访问令牌。 客户端应用程序使用机密客户端凭据和客户端 ID 向授权服务器上的令牌端点发送访问令牌请求。...JWT ID 令牌 根据需要使用访问令牌获取其他用户属性 OAuth 2.0 总结 OAuth 2.0 是一种用于委托访问 API 的授权框架。

    2.5K40

    Google Earth Engine（GEE）—有JS和python为什么GEE还要使用rgee？

    应用程序发送/接收消息。...WEB REST API/客户端库：用于向地球引擎服务器发出请求。 代码编辑器：一个在线集成开发环境 (IDE)，用于使用 Javascript API 对复杂空间分析进行快速原型设计和可视化。...认识地球引擎 用户必须考虑到地球引擎 API 和高级地球引擎功能是实验性的，可能会发生变化。访问受到限制，需要通过表单请求访问。查看地球引擎官网获取更多信息。 5....') # 使用参数 email 不是强制性的 # 初始化地球引擎和GD ee_Initialize(email = 'csaybar@gmail.com', drive = TRUE) # 初始化地球引擎和...= 'csaybar@gmail.com', drive = TRUE, gcs = TRUE) 如果 Google 帐户已通过验证并授予权限，您将被定向到身份验证令牌。

    1.5K10

    ASP.NET Core的身份认证框架IdentityServer4（8）- 使用密码认证方式控制API访问

    资源所有者密码授权 OAuth 2.0 资源所有者密码授权允许一个客户端发送用户名和密码到IdentityServer并获得一个表示该用户的可以用于访问api的Token。...该规范建议仅对“受信任”应用程序使用资源所有者密码授权。 一般来说，当您要验证用户并请求访问令牌时，通常使用交互式OpenID Connect流会更好。...主要差别在于现在的客户端将会以某种方式收集用户密码，然后在令牌请求期间发送到令牌服务。...Console.WriteLine(tokenResponse.Json); Console.WriteLine("\n\n"); 当你发送令牌到身份 API 端点的时候，你会发现与客户端凭证授权...访问令牌现在将包含一个 sub 信息，该信息是用户的唯一标识。sub 信息可以在调用 API 后通过检查内容变量来被查看，并且也将被控制台应用程序显示到屏幕上。

    1.8K30

    Gmail凭证泄露事件中的撞库与OAuth钓鱼攻击分析

    ，通过伪造Google官方安全通知邮件，诱导用户点击链接进入仿冒的OAuth授权页面，诱使其授予恶意应用“邮件读取”“联系人访问”等高权限范围（Scopes），进而获取可长期使用的刷新令牌。...一旦授权完成，攻击者即可通过授权码交换获取访问令牌（Access Token）与刷新令牌（Refresh Token）。...其中，刷新令牌有效期极长（通常无明确过期时间，除非用户显式撤销或长时间未使用），且可用于无限次获取新的访问令牌，即使用户更改了账户密码。...Google虽在授权页面列出权限范围，但默认折叠，且术语专业（如“查看、发送、删除邮件”被简化为gmail.send），缺乏风险提示。...当前缺乏对令牌使用上下文（如IP、设备指纹）的动态风险评估，导致令牌一旦泄露即等同于账户失陷。

    37510

    Google Workspace全域委派功能的关键安全问题剖析

    根据研究人员的发现，一个具有必要权限的GCP角色可以为委派用户生成访问令牌，恶意内部攻击者或窃取到凭证数据的外部攻击者将能够使用此访问令牌来冒充 Google Workspace用户，从而授予对目标数据未经授权的访问权限...： 启用了全域委派权限后，恶意内部人员可以冒充Google Workspace域中的用户并使用访问令牌来验证API请求。...、请求Google Workspace访问令牌：应用程序使用适当的凭证数据向Google Workspace令牌节点发送请求。...如果请求有效并且服务帐户已被授予必要的全域委派权限，则令牌节点将使用访问令牌进行响应，应用程序可以使用此访问令牌在请求的范围限制内跨域访问用户数据； 3、API访问：应用程序在 API 请求中包含访问令牌作为身份认证...下图显示的是全域委派操作流程： 获得全域委派权限后，Google Workspace中的服务账户将能够访问用户数据，并代表用户向Google API发送身份认证请求。

    2.2K10

    基于Google云服务滥用的新型钓鱼攻击机制与防御策略研究

    本文的主要贡献在于：首先，从技术底层解构了基于Google云服务滥用的钓鱼攻击链路，明确了攻击者如何利用API、Webhooks及通知服务绕过传统防御；其次，分析了当前企业在使用云协作平台时在IAM（身份与访问管理...一旦获得令牌，攻击者即可通过API读取邮件、搜索敏感关键词、甚至利用受害者的身份向联系人发送新的钓鱼邮件，形成蠕虫式传播。...或者，利用Cloud Functions监听特定的GitHub仓库提交或外部Webhook，一旦触发条件满足，立即调用Gmail API发送钓鱼邮件。...';}上述代码展示了攻击的核心逻辑：一旦获取了有效的访问令牌，攻击者即可通过标准的API接口操作用户数据，而无需触碰传统的邮件传输协议（SMTP）。...令牌生命周期管理空白：一旦授权，刷新令牌通常长期有效，除非用户主动撤销或管理员强制吊销。攻击者可以利用这一机制长期潜伏，即使修改了用户密码，只要令牌未失效，访问权依然存在。

    11410

    带你认识 flask 邮件发送

    如果你想要快速解决方案，可以使用Gmail帐户发送电子邮件，并使用以下设置： (venv) $ export MAIL_SERVER=smtp.googlemail.com (venv) $ export...Gmail帐户中的安全功能可能会阻止应用通过它发送电子邮件，除非你明确允许“安全性较低的应用程序”访问你的Gmail帐户。...电子邮件发送后，我会闪现一条消息，指示用户查看电子邮件以获取进一步说明，然后重定向回登录页面。...你可能会注意到，即使用户提供的电子邮件不存在，也会显示闪现的消息，这样的话，客户端就不能用这个表单来判断一个给定的用户是否已注册。...模板接收用户和令牌作为参数，以便可以生成个性化的电子邮件消息。

    2.9K20

    基于实时反向代理的Gmail钓鱼攻击机制与防御对策研究

    关键词：Gmail钓鱼；实时反向代理；AiTM；OAuth劫持；多因素认证绕过；会话令牌窃取；条件访问1 引言尽管多因素认证（MFA）被广泛视为提升账户安全的关键措施，近年来针对云服务账户的钓鱼攻击已演化出可有效绕过...2025年披露的多起针对Gmail用户的钓鱼活动即采用此模式。攻击者发送伪装成“Google账户安全提醒”或“服务条款更新”的邮件，诱导用户点击链接进入高保真仿冒登录页。...典型OAuth滥用流程：使用窃取会话访问https://myaccount.google.com/permissions；查找高权限应用（如“Full Gmail access”）；若无，则注册新OAuth...访问审核”，对Gmail、Drive等高危权限实施审批制。...：仅允许注册设备访问Gmail；要求设备满足加密、OS版本、EDR安装等基线；对非合规设备强制执行MFA+安全密钥。

    26410

    PwnAuth——一个可以揭露OAuth滥用的利器

    访问令牌可以在设定的时间段内使用，从API资源访问用户的数据，而无需资源所有者采取任何进一步的行动。...攻击者可能会创建恶意应用程序，并使用获取的访问令牌通过API资源获取受害者的帐户数据。访问令牌不需要知道用户的密码，并能绕过双因素认证。...Web应用程序为渗透测试人员提供了一个易于使用的UI，管理恶意OAuth应用程序、存储收集的OAuth令牌以及与API资源进行交互。...虽然任何允许OAuth应用程序的云环境都可以成为目标，但是PwnAuth目前使用一个模块来支持恶意Office 365应用程序，捕获OAuth令牌并使用捕获的令牌与Microsoft Graph API...Office 365模块本身可以进一步扩展，但目前提供以下功能： · 阅读邮件 · 搜索用户的邮箱 · 读取用户的联系人 · 下载消息和附件 · 搜索OneDrive并下载文件 · 代表用户发送消息 界面设计很直观和友好

    2.5K20

    云邮箱钓鱼攻击趋势与企业防御体系重构

    值得注意的是，攻击成功后的横向移动成本极低——一旦获取有效会话令牌或MFA绕过权限，攻击者可直接访问企业通讯录、日历、OneDrive/Google Drive文件乃至财务审批流程，造成数据泄露、商业欺诈甚至供应链污染...此类攻击尤其针对财务、HR等高频使用审批系统的部门。2.3 身份层突破：从凭证窃取到会话劫持传统钓鱼目标为用户名与密码，但在MFA普及背景下，攻击者转向更高效的会话令牌窃取。...典型流程如下：用户在钓鱼页面输入凭据；攻击脚本实时将凭据转发至真实登录接口，完成身份验证；获取有效的会话Cookie或OAuth 2.0访问令牌；直接注入浏览器或API调用，绕过MFA校验。...登录时，服务端发送挑战，客户端用私钥签名响应，全程无密码传输。...关键措施包括：自动化会话吊销：通过API批量注销用户所有活动会话；凭据紧急重置：强制更改密码并撤销刷新令牌；行为回溯：利用审计日志定位首次异常活动时间点。

    21910

    在 .NET 89 中使用 AppUser 进行 JWT 令牌身份验证

    JWT 身份验证是保护 API 的标准方法之一。这允许无状态身份验证，因为签名令牌是在客户端和服务器之间传递的。在 .NET 8 中，使用 JWT 令牌的方式得到了改进。...创建新的 .NET 8 Web API 项目 dotnetnew webapi-n JwtAuthApp 2....受众：指定令牌的目标受众（通常是使用 API 的客户端或服务）。 ❗️密钥：密钥用于对 JWT 进行签名，以确保其真实性。它应该是一个长而随机的字符串，以防止篡改。...，我们演示了如何在 .NET 8 中使用最小 API 结构实现 JWT 令牌身份验证。...这种方法提供了一种简单而干净的方法来保护您的 API，而不会产生控制器的开销。关键步骤包括配置 JWT 身份验证、生成令牌以及使用最少的代码保护终端节点。

    2.2K10

    一场“假泄露”引发的真危机：Gmail用户正面临新一轮钓鱼与撞库攻击

    就在全球科技圈还在消化“谷歌20亿用户数据泄露”这一惊悚消息时，网络安全前线却悄然打响了一场更为隐蔽、更具破坏性的“二次战役”——针对Gmail用户的大规模撞库攻击与精准钓鱼行动正在席卷全球。...许多用户在多个平台使用相同密码，一旦某个小网站被攻破，其账户信息就可能被用来“试登”Gmail等高价值账户。...这些邮件不仅使用用户真实姓名和邮箱，还包含高度仿真的谷歌登录页面，甚至诱导用户授权第三方应用，从而获取OAuth刷新令牌（Refresh Token）。...OAuth授权机制被“武器化”现代应用广泛使用OAuth协议实现“免密登录”。例如，你授权一个邮件管理工具访问Gmail时，它会获得一个令牌，而不是你的密码。...审计并清理第三方OAuth授权定期检查哪些第三方应用有权访问你的Google账户。进入Google账户的“安全性” > “第三方应用访问权限”，撤销所有不熟悉或不再使用的应用授权。

    52210
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券