地址栏漏洞

浏览器地址栏里那串字符，地址洞大多数人扫一眼就过去了。栏漏可就是地址洞这几十个字母和符号，能把你送进一个精心布置的栏漏陷阱，而你完全意识不到。地址洞

我头一回意识到这事，栏漏是地址洞朋友发来一个链接。看着像某银行的栏漏官网，https开头，地址洞锁头图标也在。栏漏点进去，地址洞页面做得几乎一模一样。栏漏唯一不对劲的地址洞地方，是栏漏地址栏里那串域名——把“icbc”换成了“1cbc”，数字1代替了字母i。地址洞眼睛稍微挪开半秒，根本分不出来。

这就是地址栏漏洞最朴素的一种玩法：视觉欺骗。homograph攻击更狠，用西里尔字母“а”替换拉丁字母“a”，两者在屏幕上长得一模一样，浏览器却把它们当成完全不同的域名。你盯着地址栏看了三秒，觉得没问题，实际上你访问的是别人的服务器。

问题出在哪儿？出在我们太信任地址栏了。它被设计成身份的象征——你看到“https://www.example.com”，就默认这是example.com。但地址栏显示的内容，和实际请求的地址，中间隔着好几层解析。DNS劫持能在你输入正确域名后，把你导到假IP上。SSL证书验证也有空子可钻，某些证书颁发机构的审核并不像你想象的那么严。

2017年，安全研究员发现了一个更隐蔽的漏洞。Chrome和Firefox在处理某些Unicode字符时，地址栏显示的和实际访问的域名不一致。攻击者可以注册一个看起来像“apple.com”的域名，实际指向恶意服务器。用户以为自己在苹果官网，输入账号密码，全进了别人口袋。这个漏洞后来被修补了，但类似的思路一直在变种。

还有个经典案例是2019年的“地址栏欺骗”漏洞，影响多家主流浏览器。攻击者通过特制的HTML页面，让地址栏在页面加载后保持显示一个合法域名，而实际内容已经切换到钓鱼页面。你看着地址栏里的“https://www.google.com”，页面却是假的登录框。这个漏洞的可怕之处在于，它不需要你点任何东西，页面自己就完成了切换。

普通人怎么防？说实话，很难。地址栏那点宽度，放不下完整的安全信息。浏览器厂商试过把域名加粗、把https标绿，后来发现用户根本不看。现在Chrome干脆把https的锁头图标都去掉了——反正大家也不理解它的含义。

我的习惯是，涉及金钱和账号的网站，从不点链接进去。手动输入域名，或者用书签。多花五秒钟，少一堆麻烦。另外，地址栏里那串东西，别只看开头，拉到后面看看有没有奇怪的子域名或者路径。钓鱼网站经常把真域名放在路径里，比如“https://evil.com/icbc.com/login”，粗看以为在访问icbc，其实前半截才是真正的域名。

地址栏是个用了二十多年的老设计，它假设用户会仔细看那串字符。这个假设从一开始就错了。人眼不擅长分辨相似字符串，更不擅长在快速浏览中捕捉异常。漏洞不在代码里，在我们看地址栏的方式里。