过分的神圣,往往比恶魔更加恶质。 收藏本站
登陆 / 注册 搜索

阅读:147   回复: 1

URL里面的骗术

[复制链接]
左手天才 「龙战于野」 2022-11-20 06:31 |显示全部楼层

你以为大家都知道的事情,很可能有 99% 的人都不知道。

经常上网的人在网上会接触到形形色色的网址,有灌水论坛里发现的链接,有QQ或ICQ网友发过来的“祝福”,还有些或许你会产生兴趣的广告、投票活动……这些无所不“链”的网址,正在等待你的点击。

URL里面的骗术 url.jpg

即使只是普通网民,能够认识网址也是一项网络生存的“基本技能”,或许你需要看懂它。
👀🗽🎂🈸🦮‌
URL与网址

在大部分网络用户的概念里,网址就是URL(统一资源定位器,以下简称资源定位)的中文翻译和代名词,确切地说,这也并不是错误的称法。尤其是ASP(活动服务网页)的普遍采用,更模糊了网络地址与资源定位概念上的细微差别。
🧑‍🚀‌👓🖨😉🖕
例如
  1. https://www.guhei.net/
复制代码


是一个标准的传统意义上的网址,它直指一个页面或IP地址。但如果是一个
  1. https://www.guhei.net/forum.php?temp=6596186
复制代码

👳‌👜📐🤪🙌



这样的“地址”(实际上并没有这样一个页面文件存在,我们看到的是执行后的结果),我们称其为URL似乎更合适一点。

当然我们没必要纠缠这种细微差别,但一些小小的危机和欺骗可能也就在这个对比中产生了——你会难以从URL来判断出它的真实网址和结果。

🤳🎢🌶📵🐶‏特殊标志解析欺骗

在HTTP规范中,网络协议名称之后的完整格式为 http://IP:@name:pass/,其中只有第一部分IP是必需的,“@”后面是用户名参数,“:”后面是密码,这使服务器可以解析带有更多信息的完整字符串。

我们最常见的通过浏览器登录Ftp服务器时的URL格式(ftp://name@ftp.xxx.com:port)就是这样一种情况,如果用户名和密码包含在URL中,真正的主机地址是从“@”字符之后开始,这就可以产生欺骗。
🧠🚠🍭🆚🦠‍
例如一位网友告诉你

  1. http://[email protected]/search?hi=zh-CN&ie=UTF-8&oe=UTF-8&q=asp&Ir=

  2. 👃🎠🍽🚷🐻‍

复制代码



这个地址有你需要的LongHorn新版本下载,你恐怕不假思索就会点上去。但注意看一下“@”后面的内容,那才是真正的网址,而www.microsoft.com”将被视为Google服务器上的一个用户名(当然,它是不存在的),实际指向后面的页面。如果这个地址是具有攻击性或感染了病毒的网页,后果可想而知。
👨‍⚕️‎🩴🗑😂👆
虽然这些URL在网络标准中都是“合法”的,它们伪装成用户信任的站点,如果有恶意行为,很难立即发现。遇到这种情况,不妨看看“@”的解释,就知道是否有问题存在了。

十进制格式的IP欺骗

像上面例子那样的带有欺骗性的URL,是利用了我们对熟悉的URL格式的信任,利用了用户从URL的顶级域名来判断可信度的习惯,还有另外一种欺骗则反其道而行,用一串不知所云的数字麻痹用户。🥷‎🕶🩺🤐👃

例如网易的一个IP地址是 202.106.185.77,将这个IP地址换算成十进制后就是3395991885,Ping这个数字看看,是不是居然能Ping通,这就是十进制IP地址的解析,它们是等价的。

迷惑的虚拟域名

👃🌧🍏🆎🪰‍


虚拟域名曾一度是无域名网站的最爱,但有些虚拟域名系统支持句点分隔符,结合上述十进制IP地址,就可以通过如下的URL来制造更大的迷惑:


  1. http://www.bbs.com@3633633987/

    👵‎🩳📞😷👄



复制代码



这个网址就达到了以假乱真的地步,它实际指向Redhat网站,怎么,你还以为www.bbs.com吗?因为很多的网站都把HTTP的ScssionID放在URL中,来代替Cookie使用,所以用户并不会十分留意这个URL中的数字值和“@”字符。
👆🌧🥄🆘🦋‎


上一篇
下一篇
帖子热度 157 ℃

蓬莱山随山 「初入古黑」 2022-11-20 06:33 |显示全部楼层

这个用户很懒,还没有填写自我介绍呢~

做站就像做鸡‍‍,低调才是永恒的音符‍。
您需要登录后才可以回帖 登录 | 免费注册  

本版积分规则

快速回复 返回列表