去年十月，网址漏洞一个做跨境电商的网址漏洞朋友发来一条链接，说店铺后台突然打不开了。网址漏洞我点进去一看，网址漏洞浏览器地址栏里那串字符长得离谱，网址漏洞域名后半截拼着"se-cure-login"的网址漏洞字样，前面却是网址漏洞他完全没见过的IP。典型的网址漏洞钓鱼网址。他差点把账号密码填进去。网址漏洞

网址这东西，网址漏洞平时没人细看。网址漏洞大家扫一眼开头是网址漏洞https，有个小锁图标，网址漏洞就放心了。网址漏洞可漏洞往往就藏在这份放心里面。网址漏洞

那把小锁，保不了你

浏览器地址栏的锁形图标只说明一件事：你与这个服务器之间的传输是加密的。它不负责告诉你服务器背后是谁。一个骗子花几十块钱买个域名，再申请一张免费SSL证书，照样能亮出小锁。2023年反钓鱼工作组的数据显示，超过八成钓鱼网站都启用了HTTPS。锁还在，人没了。

我自己的习惯是看域名主体。paypal.com和paypal-secure.com是两回事，后者谁都能注册。更阴的招数是换字母，把"rn"拼成"m"，把数字"0"塞进字母"o"的位置。肉眼扫过去根本分不清。有个安全研究员做过测试，把苹果官网域名里的"i"换成土耳其语的点less i，浏览器照样能解析，页面一模一样。

短链接是把双刃剑

微博、推特上那种t.cn、bit.ly的短链，点之前你永远不知道它跳向哪里。有人拿它做正经分享，也有人拿它藏恶意地址。我遇到过一回，朋友发来个短链说"帮我砍一刀"，点开跳转三次，最后落在一个模仿某电商登录页的假站上。URL里的参数带着我的微信头像和昵称，页面做得跟真的一模一样。

短链服务本身有预览功能，但没几个人用。大家看到熟人发的就点了。社交平台的信任链，被短链当成了跳板。

参数里塞东西

还有一种漏洞不靠假域名，直接在真域名的参数里做文章。比如某个电商站点的搜索功能，URL长这样：shop.com/search?q=手机。有人把q后面的内容改成一段脚本，服务器没过滤，直接回显到页面上。这就是XSS，跨站脚本攻击。你点进去，页面看着正常，脚本已经在后台偷cookie了。

更隐蔽的是开放重定向。真域名后面挂个?redirect=参数，指向一个外部地址。用户看到域名是真的，放心点，结果被弹到钓鱼站。这种漏洞在OAuth授权流程里特别常见，攻击者拿它来偷token。

域名抢注和过期

公司忘了续费域名，被人抢注，这种事每年都有。抢注者把原网站内容扒下来，挂到新域名上，继续接收老用户的流量。用户书签里存的还是那个域名，点进去发现要重新登录，顺手就填了。等发现不对，密码早被收走了。

我查过几个被抢注的域名，Whois信息里注册商换成了海外的小服务商，服务器IP在某个东欧国家。页面内容跟原站相似度九成以上，只有登录表单的action地址指向了另一个域。

怎么办

别只看锁。点一下地址栏，看看证书颁发给谁。手动输入域名，别点邮件或短信里的链接。短链先用展开工具看一眼。浏览器插件可以装一个，但别装太多，有些插件本身就在偷数据。

网址漏洞这事，说到底利用的是人的惯性。技术补丁好打，认知补丁难打。我那个朋友后来把店铺后台的登录改成了硬件密钥，他说密码这东西，填一次就可能泄露一次。这话糙，理不糙。

(责任编辑：综合)