有没有人认识到这个电子邮件嗅探器或恶意软件使用ROT13编码？

我有一个私人网站，每个星期都会发送两个不同的http链接到一个大约30人的电子邮件。单击链接时，答案将被注册到数据库中。从上周开始，收件人的链接之一自动跟随在收件人的计算机上的networking嗅探器或一些恶意软件。

每个电子邮件都是单独发送的，因为链接包含每个收件人的电子邮件地址：

Yes, I will attend: http://mywebsite.com/[email protected]&answer=yes No, I can't attend: http://mywebsite.com/[email protected]&answer=no

电子邮件发送后大约20分钟，我收到以下请求到我的网站：

 UserHostName: 209.133.77.166 UserHostAddress: 209.133.77.166 UserAgent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; InfoPath.2; MS-RTC LM 8) Browser: IE 7.0 Platform: WinXP HttpMethod: GET Path: /default.aspx Url: http://mywebsite.com/default.aspx?answer=ab&[email protected] UrlReferrer:

这里有一些奇怪的事情要注意：

电子邮件地址和答案都是ROT13编码（但不是参数名称）。
参数的顺序是相反的。
只有第二个链接，答案=否，随后。

也：

IP地址，用户代理，浏览器和平台字段不匹配收件人的计算机（当然，它们可能被欺骗）。
上周使用的IP地址是209.133.77.167。这两个地址似乎都是在上面的网域dynamic分配的，执行tracert会产生主机名209.133.77.166.T01713-01.above.net。
检查电子邮件标题，电子邮件是从我的网站酒店binero.net通过messagelabs.com发送到收件人邮件服务器。
只有这一个接收者有这些问题。

有没有人认识到以下电子邮件链接和ROT13编码参数的模式？

哈，发帖后5分钟我自己find了答案。曾经发生过你吗？ 🙂

https://security.stackexchange.com/questions/48684/help-investigating-potential-website-attack-url-rewriting-and-rot-13-obfuscatio

主要有：

它与AboveNet（现在是Zayo的一部分）接了几个电话，但我们终于可以确定他们的一个客户是位于英国的反恶意软件公司，为我们的两个普通客户提供服务。他们正在扫描所有传入的电子邮件，并探查任何超链接以识别目的地中的潜在危险和/或漏洞。