[轉貼]網路新陷阱 老鳥險栽了

[DoDo]

之前一直想Po這篇文章...但一直忘記....
可以給這裡的朋友參考!

主旨: 網路新陷阱 老鳥險栽了

筆者使用電腦超過二十年，近來卻差點栽了個跟頭在一個新的網路騙局上。筆者收到自稱雅虎公司的信函，要求筆者立刻提供六位好友的電子郵件地址，否則兩週後即將停權。其理由是該公司要強化客戶資料管理。該信件提供了一個Yahoo的網址，叫我連過去。

筆者連過去之後，發現在版面設計上，該網址完全模仿Yahoo的網址。更驚訝的是，在技術層次上，該網站也真的隸屬於Yahoo公司。原來：歹徒是在俄羅斯申請一個網址，網址的名稱相當怪異，叫做：「com%00@lap0qk5gd.da.ru」，關鍵就在這裡：該網址的後段在電腦上會被翻譯成「%00@%6c%61%700%71%6b5%67%64%2e%64%41%2e%72」，偏偏這段符號無法被電腦解讀，結果就消失不見。這一來，歹徒便可自由設定次網域名稱，例如把「www.yahoo.」加上去，結果網站名稱就變成了「www.yahoo.com%00@lap0qk5gd.da.ru」。如前所述，「%00」後面的符號都無法被解讀，所以電腦只會呈現出「www.yahoo.com」。所以當使用者自以為在瀏覽雅虎網站「www.yahoo.com」時，其實是進入歹徒的網站「www.yahoo.com%00@lap0qk5gd.da.ru」。

這下子，歹徒就可假扮成任何網站，甚至利用網路購物來竊取消費者的信用卡資料。而且，任何的網路保密機制都沒有用，因為網路保密機制再怎麼完美，還是安裝在「正牌」的網站上面，但使用者所上的網站，根本就是「冒牌貨」。更慘的是，被冒充的網站完全不會知情。因為歹徒可以在取得資料後，再偷偷將網址循正規程序導回「正牌」的網站上，消費者付了錢，也拿到貨物，完全不會有糾紛，誰知道資料都已外洩了。

請網友擦亮眼睛，切莫跌入陷阱。

[哈啦]

謝謝dodo方文章，不過該文中的說法有點複雜。
簡單來說，網址列中@這個符號以前的任何字母都會被忽略，幾年前還曾有過一陣註冊這種網名的小小風潮，列在當時的afternic.com賣，例如註冊merica.com，很多人看不懂這個不是字的網名有什麼好，結果原來如果前加上一個@就成了@merica.com了，拿這個打到網址列去還真能出現一個網站(其實就是merica.com)，如果打goto@merica.com也一樣會到merica.com，所以好像可以千變萬化的樣子。很多人還覺得很新鮮，誤認網址符號除了-之外還可以用@了。其實是在@之前的所有東西都不被解析。所以各位接到任何不明的電子郵件上的鏈結都要特別小心，最好是copy下來再貼到瀏覽器上，看看它真實的網址是什麼？

[some]

在那邊可以註到 @ 的網址?

[哈啦]

在那邊可以註到 @ 的網址?

@是無法註冊的，而是你去註一個網址例如rketing.com，本身沒有任何意義，但你告訴別人你的網址時卻可以說成m@rketing.com，看起來好像是marketing.com，而別人打上這網址也真的可以出現你的網站，事實上，就是rketing.com而已，前面的m@是被忽略不計的。

[jimmytp]

事實上微軟的IE已經新增了一個修補取消這個功能...
以前你可以使用
http://usernameassword@somedomain.com
的格式登入FTP跟某些認證方式的HTTP

之前有個盯螢幕太久腦子變豆腐的奇摩新聞也適用這種方式偽裝的....

原文中有一些地方似乎應該修正

1.

網址的名稱相當怪異，叫做：「com%00@lap0qk5gd.da.ru」

應該是lap0qk5gd.da.ru
@前面的東西就如同哈啦站大所說的，沒有意義...

2.

更驚訝的是，在技術層次上，該網站也真的隸屬於Yahoo公司。

這這這....算是語病或邏輯錯誤吧
只是障眼法，哪來的"隸屬"可言....看到這一段我還以為是YAHOO的員工自己出來騙人的... (就算加了"在技術層次上"這句我覺得還是怪怪的)....

純粹愛挑骨頭。