涉及程序： Ipswitch Imail 详细： Ipswitch Imail (http://www.ipswitch.com) 是一款应用于 WINDOWS 下的 EMAIL 服务器。发现它存在漏洞，它的用于验证用户的 Session ID 可以被预见: 45: Sesion ID: /Xa20acc929dcecfce93a0afa688 46: Sesion ID: /Xa20bcc929dcecccb9ba0afa688 47: Sesion ID: /Xa208cc929dcf9a9c93a0afa688 48: Sesion ID: /Xa209cc929dcf9b9998a0afa688 49: Sesion ID: /Xa20ecc929dcf9bcccba0afa688 50: Sesion ID: /Xa20fcc929dcf98c998a0afa688 51: Sesion ID: /Xa20ccc929dcf9992c8a0afa688 52: Sesion ID: /Xa20dcc929dcf9ecbcea0afa688 53: Sesion ID: /Xa202cc929dcf9f9dcca0afa688 54: Sesion ID: /Xa203cc929dcf9c9e92a0afa688 55: Sesion ID: /Xa200cc929dcf9d9b9aa0afa688 56: Sesion ID: /Xa201cc929dcf9dce92a0afa688 57: Sesion ID: /Xa206cc929dcf92cb9aa0afa688 58: Sesion ID: /Xa207cc929dcf939c93a0afa688 59: Sesion ID: /Xa204cc929dcfcb999ba0afa688 60: Sesion ID: /Xa205cc929dcfcbcc93a0afa688 通过分析 Session key ，攻击者可以预见 Session ID，从而不需要知道用户名和密码即可访问某个用户的信箱。 解决方案： 不要选择 \"ignore source address in security check\"，这样当攻击者源地址和用户源地址不一样时便不能攻击成功（没有考虑用代理、网关）。