斯拉夫字母辅助作用之域名
在拜读了aircrk大牛的对于斯拉夫字母字符的分析之,既然这种特殊字符中的某一些在浏览器中区分并不大,所以我们能够使用此种方法进行钓鱼构造,或者注册含有特殊字符的用户名进行社会工程学攻击;同样的我们能利用此法进行域名构造来进行钓鱼操作?
下面我们做一个测试,先选一个构造好的字符串进行测试。
我们发现我们通过此法构造出来的域名同样能够在QQ中实现混淆作用,然后我们进行点击测试
发现跳转至
http://www.xn--dmin-43d.com/
看到这里可能有人对此跳转比较奇怪,实际上可以尝试通过百度关键字inurl:xn-- 进行分析
实际上这是由于浏览器在解析非常规域名时需要进行先转码,转换成常规格式,然后再进行解析,而这种砖码之后的域名特点就是其域名前面还有xn--标记,然后使用punycode进行转换,转转常规格式。
下面重点就来了,我们怎么拿到这种域名呢?
阿里云
美橙互联
经测试,大部分网站都不可能,但是西部数码是可以的。
然后果断注册
简单测试了下微信和QQ
PC端QQ当以特殊字符为首时,跳转正常;微信无法自动生成链接
移动端QQ作URL无解,作邮箱使用一切正常;移动端微信作URL和邮箱皆无解
下面我们做一个测试,先选一个构造好的字符串进行测试。
我们发现我们通过此法构造出来的域名同样能够在QQ中实现混淆作用,然后我们进行点击测试
发现跳转至
http://www.xn--dmin-43d.com/
看到这里可能有人对此跳转比较奇怪,实际上可以尝试通过百度关键字inurl:xn-- 进行分析
实际上这是由于浏览器在解析非常规域名时需要进行先转码,转换成常规格式,然后再进行解析,而这种砖码之后的域名特点就是其域名前面还有xn--标记,然后使用punycode进行转换,转转常规格式。
下面重点就来了,我们怎么拿到这种域名呢?
阿里云
美橙互联
经测试,大部分网站都不可能,但是西部数码是可以的。
然后果断注册
简单测试了下微信和QQ
PC端QQ当以特殊字符为首时,跳转正常;微信无法自动生成链接
移动端QQ作URL无解,作邮箱使用一切正常;移动端微信作URL和邮箱皆无解
评论26次
http://www.freebuf.com/articles/web/165975.html结合这篇文章一起效果更佳。
不明觉厉,貌似很吊
厉害了 上车滴滴滴 谢谢
我想到了钓鱼,是个好办法。
哟哟哟 老司机思路真是多 哈哈哈
gṃail.com
学xi了。
果然一个好方法后面总是能跟出更多有意思的东西
在聊天窗口中我觉得视觉上还是效果减弱了。超链接的蓝字和划线都没有
你的aa是怎么注册的?
浏览器打开地址栏不会显示www.аdmin.com ,感觉没多强
@无敌金创药 貌似西部数码注册不了啊
西部数码有时候会抽风,在首页搜索不了。你随便搜索一个。然后跳转到结果页重新搜索即可。
这是造福喜欢钓鱼的人啊
很多游xi官网注册 类似用斯拉夫字符注册一样的玩家名称还是被限制的
完蛋,这个姿势一发出来,恐怕有不少人蠢蠢欲动了,我的愿望是 世界和平
我又来了哈哈
能研究点好事不?
这个方法一出,不知道有多少无辜的人又要上当受骗了...
@无敌金创药 貌似西部数码注册不了啊
确实很吊啊,
仔细看还是有区别的 不过发给一般没安全意识的 还是屌屌的