提示漏洞

上个月，提示漏洞我差点把公司内部数据库的提示漏洞密码发给了骗子。

那天下午三点，提示漏洞邮件弹窗显示“IT部门：您的提示漏洞邮箱存储空间已达98%，点击此处立即扩容”。提示漏洞界面做得太像真的提示漏洞了——logo、排版、提示漏洞甚至落款的提示漏洞签名都一模一样。我鼠标移到链接上，提示漏洞地址栏跳出来一串乱码似的提示漏洞域名。犹豫了三秒，提示漏洞我点开了。提示漏洞

页面要求输入工号和密码。提示漏洞我手指悬在键盘上，提示漏洞忽然瞥见浏览器左下角那行小字：“此网站连接不安全”。提示漏洞我愣住了。再看一遍邮件，发件人地址是it.support@c0mpany.com——不是company，是c0mpany。零替换了字母o。这种细节，不对比根本发现不了。

骗子的成功，从来不靠把漏洞藏得多深。他们靠的是人类天生不爱看细节。

这类“提示漏洞”无处不在。密码重置问题问“你母亲的 maiden name”时，系统根本不会告诉你——你妈的名字在Facebook上挂着，公开可见。两步验证发短信验证码，骗子只要先假装是客服，用你泄露的身份证号骗运营商换掉SIM卡，你的验证码就发到他们手里了。你防住了钓鱼链接，没防住社交工程。

更别提那些看起来“贴心”的提示了。银行短信说“您的账户异常，请回复Y确认”。你回复了Y，等于授权了一笔小额免密支付。骗子甚至不用你的密码，他们只需要你“配合”一下。

我认识一个做安全测试的朋友，他专门给大公司找漏洞。他说最讽刺的是，很多系统漏洞不是技术上的，是流程上的。比如某些系统密码过期后会自动发一封“重置密码”的邮件——攻击者只要提前几天注册一个相似域名的邮箱，等着员工自己把密码送上门。系统提示你“密码已过期”，可没提示你“这封邮件是假的”。

提示语本身就是双刃剑。系统为了用户体验，把该说的不该说的都说了：

“您输入的密码与常用密码相似”——这句提示等于告诉攻击者，你的密码可能只是换了数字后缀。

“该用户名已注册”——很好，确认了这个邮箱有效。

“验证码已发送至尾号8888的手机”——直接帮骗子省了试探时间。

这些提示本意是帮你，结果成了给攻击者递刀子。

最狠的一招叫“即时错误提示”。你登录时输错密码，系统秒回“密码错误”。可如果密码对了、用户名错了，系统会提示“用户不存在”。两种提示的差异，让任何人能批量验证邮箱是否注册过。你以为是安全验证，其实是信息泄露。

别指望技术能解决所有问题。人脸识别能骗，指纹能复制，验证码能拦截。最坚固的防线还是那条：凡是主动找上门的“提示”，先假设它是假的。真正的系统不会催你，不会威胁你，不会给你制造紧迫感。骗子才需要你快点做决定。

我后来把那封钓鱼邮件转发给了IT部门。他们回复：“感谢报告，这是本月第47起同类攻击。”你看，连IT部门的自动回复都在提示漏洞——他们根本没人工看邮件。

那串乱码域名我至今没删。留着当个教训吧——下次再看到任何“提示”，先问一句：它到底在帮我，还是在钓我？

本文地址：http://www.79wt.cn/news/05b0499990.html