[閒聊] Trvian 的帳號轉讓不安全

[avhacker (我想把整片天空打開)]

跟據規則 (http://www.travian.tw/spielregeln.php)，他最重要的
"認證" 就是由帳號擁有者發信給管理者，告知要把帳號轉給誰.

這邊的重點是，發信者的信箱必需與該帳號登記的 email 相同，但
SMTP 協定中，發信者的 email address 其實是可以自己填的，也就
是說完全沒有認證效力....-_-

沒聽懂的話，意思就是說，我可以寄一封信給你，而你會看到發信
人可能是 [e-mail] 或是任何我想填的位址，很容
易的!

--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 140.123.19.235
→ lslong:嗯..的確..但重點是你不知申請人的mail是什麼..
→ avhacker:正解應該是像發認證信函那種做法
→ avhacker:會有這問題是因為我用 gmail 帳號註冊，但卻用小技巧分類
→ avhacker:就是 http://tinyurl.com/2fc9lw 寫的帳號名後有用"加號"
→ avhacker:但後來要轉帳號時，直接發信一定是沒加號的 email
→ avhacker:最後只好 fake 一封信去騙管理者，叫他轉帳號了 XD
推 teyou:你說的是沒錯...但是如果 admin 回確認信你就收不到囉..
→ teyou:Or maybe 你已經試出結果了?
→ avhacker:admin 沒給我確認信，只發通知信，說帳號已經轉好了 XD