在Chrome、Firefox和Opera上几乎不可能检测到这种网络钓鱼攻击

他警告说，黑客可以利用Chrome、Firefox和Opera浏览器中的已知漏洞，将其假域名显示为苹果、谷歌或亚马逊等合法服务的网站，从用户那里窃取登录或财务凭证以及其他敏感信息。

针对网络钓鱼攻击的最佳防御措施是什么？通常，在页面加载后检查地址栏，以及是否通过有效的HTTPS连接提供服务。正当

好的，在深入讨论细节之前，先看一下这个演示网页(注意：由于演示服务器上的高流量，您可能会遇到停机)由发现此次袭击的中国安全研究员郑旭东建立。

"如果不仔细检查网站的URL或SSL证书，就不可能将该网站识别为欺诈网站。“郑旭东在一篇博文中说。

如果您的web浏览器正在显示“苹果通用域名格式“在使用SSL保护的地址栏中，但页面上的内容来自另一台服务器（如上图所示），则您的浏览器容易受到同形词攻击。

Wordfence的安全专家还创建了另一个概念验证网站来证明这种浏览器的漏洞。这是恶作剧“叙事诗通用域名格式“域名。

同形词攻击自2001年以来就已为人所知，但浏览器供应商一直在努力解决这个问题。这是一种欺骗攻击，网站地址看起来合法，但不是因为一个或多个字符被Unicode字符欺骗性替换。


许多的Unicode字符，在国际化域名中代表希腊语、西里尔语和亚美尼亚语等字母，在不经意间看起来与拉丁语字母相同，但在具有完全不同网址的计算机上处理方式不同。

例如，浏览器对西里尔字母“а”（U+0430）和拉丁字母“a”（U+0041）的处理方式不同，但在浏览器地址中显示为“a”。

Punycode网络钓鱼攻击

默认情况下，许多web浏览器使用小码'编码来表示URL中的unicode字符，以抵御同音词网络钓鱼攻击。Punycode是一种特殊的编码，web浏览器使用它将unicode字符转换为国际域名（IDNs）系统支持的有限字符集ASCII（a-Z，0-9）。

例如，中文域名“短.co“在Punycode中表示为”xn--s7y。CO".

郑说，漏洞在于这样一个事实：如果有人从一个外语字符集中选择一个域名的所有字符，这些字符与目标域名完全相同，那么浏览器将使用相同的语言，而不是Punycode格式。

这个漏洞允许研究人员注册一个域名xn--80x6aa92e。更改已配置的设备。com和旁路保护，看起来是“苹果通用域名格式“所有易受攻击的网络浏览器，包括Chrome、Firefox和Opera，但Internet Explorer、Microsoft Edge、Apple Safari、Brave和Vivaldi并不易受攻击。

在这里xn--前缀被称为'ASCII兼容编码'前缀，表示域使用'punycode'编码来表示Unicode字符的web浏览器，由于郑使用西里尔字母“а”（U+0430）而不是ASCII“a”（U+0041），web浏览器实施的防御方法失败。

郑已在1月份向受影响的浏览器供应商报告了这个问题，包括谷歌和Mozilla。

假页面（上图）和原始苹果。com（底部），但完全相同的URL

虽然Mozilla目前仍在讨论修复方案，但谷歌已经修补了其实验性Chrome Canary 59中的漏洞，并将在本月晚些时候发布Chrome Stable 58后提出永久性修复方案。

同时，建议数百万面临这种复杂且难以检测的网络钓鱼攻击风险的互联网用户在其web浏览器中禁用Punycode支持，以便暂时缓解这种攻击并识别此类网络钓鱼域。

如何防止同形词网络钓鱼攻击

Firefox用户可以按照以下提到的步骤手动应用临时缓解措施：

1. 类型关于：配置在地址栏中，按enter键。
2. 类型小码在搜索栏中。
3. 浏览器设置将显示标题为：网络IDN_show_punycode，双击或右键单击并选择切换将值从false更改为符合事实的.

不幸的是，Chrome或Opera中没有类似的设置来手动禁用Punycode URL转换，因此Chrome用户必须等待几周才能获得补丁。

不过，App Store上有一些第三方Chrome扩展/附加组件，用户可以安装这些扩展/附加组件，以便在每次遇到域中包含Unicode字符的任何网站时获得提醒。

同时，保护自己免受同形词攻击的最佳方法之一是使用浏览器扩展附带的良好密码管理器，它会自动为链接到的实际域输入登录凭据。

所以，当你遇到任何看起来像合法的“apple.com”或“amazon.com”但实际上不是的域名时，你的密码管理软件将检测到它，并且不会自动验证您是否访问该钓鱼网站。

此外，建议互联网用户在Gmail、Facebook、Twitter、Yahoo或银行网站等重要网站的地址栏中手动键入网站URL，而不是单击某些网站或电子邮件上提到的任何链接，以防止此类攻击。

更新：Opera还发布了一个安全补丁，以防止可能的Unicode域钓鱼攻击，并发布了稳定版本Opera stable 44.0.2510.1449。Windows、macOS和Linux的浏览器安装链接可在该公司的官方网站上找到。