黑客想要仿冒一个全球知名官网的域名，根本不需要费劲黑进 DNS 服务器。 在 Unicode 标准字符集里，西里尔字母中的小写 а（U+0430）和拉丁字母… · @fishjar · TwKit

@fishjar

黑客想要仿冒一个全球知名官网的域名，根本不需要费劲黑进 DNS 服务器。 在 Unicode 标准字符集里，西里尔字母中的小写 а（U+0430）和拉丁字母里的 a（U+0061）在绝大多数现代屏幕渲染字形上完全一模一样，肉眼看不出半个像素的差异。 当黑客用西里尔字符注册看似相同的域名时，浏览器底层会自动将其转换为以 xn-- 开头的 Punycode 编码。如果客户端或邮件系统的国际化域名防御规则未做同形异义字过滤，用户看到的地址栏完全合法合规，直接走进钓鱼陷阱。 在计算机网络底层，人类眼睛所见的图形从来不是安全边界。真正的安全校验永远建立在原始字节序列上。 参考分析：https://shkspr.mobi/blog/2018/11/domain-hacks-with-unusual-unicode-characters/

曝光 58 · 评论 1 · 点赞 0 · 书签 0