本文讲述了作者通过Gsuite邮件发送功能，可构造后缀为@google.com的任意发件人身份，实现SMTP注入，漏洞获得了谷歌$3133.7的奖励。Gsuite是谷歌旗下的一款整合协同办公软件，它可以用来管理组织机构内部账户，允许管理员对内部账户进行权限划分、应用程序访问控制、通讯录查看以及邮件头应用等操作。其中，Gsuite的邮件头应用功能引起了我的兴趣，如今的电子邮件头中包含了一些可以“利用”的SMTP协议信息，它算是一种古老的通信协议了，几乎每个接触互联网的人都会使用到它。这里的“利用”指的是我们可以从中发现一些有用信息，从而做一些尝试性的欺骗测试。谷歌这种大厂其实也难免犯错，这不，我就发现了Gsuite的邮件配置存在漏洞，攻击者可以利用该漏洞伪造谷歌服务器的发送邮件。