网址安全检测

上个月我收到一条短信，网址说我的安全快递被拦截了，需要点击链接重新确认地址。检测链接长得像模像样，网址前面是安全某快递公司的拼音，后面跟着一串数字。检测我差点就点了，网址但手指悬在屏幕上方的安全时候，突然想起来——我最近根本没网购。检测后来查了一下，网址那个域名注册才三天。安全

这种事现在太多了。检测网址就像一扇门，网址门后面是安全什么，光看门牌号根本猜不出来。检测有人觉得只要不点陌生链接就没事，但问题在于，很多链接看起来并不陌生。它们会伪装成银行、电商平台、甚至你公司内部的OA系统。我见过一个钓鱼网站，域名是mail-qq-com.cn，中间用短横线隔开，乍一看以为是QQ邮箱的某个子页面。实际上，qq.com才是真正的域名，前面那一串全是子域名，可以随便起名。

浏览器地址栏其实会给你提示。Chrome和Edge现在都会把真正的域名加粗显示，比如www.example.com，其中example.com是加粗的。但很多人不看，或者看了也不明白。我有个朋友在银行工作，照样中过招。他收到一封“客户投诉”邮件，附件是个网页文件，打开后要求输入网银账号密码。他输了。事后他说，那个页面和银行官网一模一样，连验证码的字体都没差别。

技术上讲，检测一个网址安不安全，有几个笨办法但很管用。第一，把域名复制到whois查询网站，看注册时间。三天前注册的域名，大概率有问题。第二，用ping命令或者在线工具查IP，如果IP地址在境外，而对方声称是国内的某机构，那就得留个心眼。第三，看SSL证书。现在很多钓鱼网站也上了HTTPS，但证书往往是自己签的，或者颁发给一个完全无关的域名。浏览器地址栏的小锁图标不代表安全，它只代表连接是加密的，不代表对面是好人。

还有个细节：短链接。bit.ly这种服务本身没问题，但被滥用的太多了。我现在的习惯是，看到短链接先展开，再决定点不点。

企业内网也不是保险箱。去年有个客户，员工在内部论坛看到一个“工资调整通知”的链接，点进去后输入了域账号。攻击者用这个账号登录了VPN，然后横向移动，最后加密了文件服务器。整个链条的起点，就是一个http开头的内部链接。内部系统用http而不是https，这在很多公司是常态，但风险很大。内网流量被嗅探，或者员工被诱导到外部钓鱼站，都是可能的。

个人用户能做的，其实不多，但足够。别点短信里的链接，别扫来历不明的二维码，别在非官方App里输入密码。如果实在拿不准，就把网址复制到搜索引擎里搜一下，看看有没有人已经踩过坑。我试过几次，搜出来的结果里，第一条就是“警惕假冒XX网站的诈骗”。

浏览器插件也能帮忙。像uBlock Origin这类工具，会拦截已知的恶意域名。但别装太多，装多了浏览器卡，而且有些插件本身就在收集你的浏览记录。我目前只留了一个广告拦截和一个脚本管理，其他都卸了。

最后说个反直觉的事。有些网址看起来特别正规，比如www.taobao.com.cn，但淘宝根本没有.com.cn这个域名。真正的淘宝是taobao.com。多一个后缀，就是另一个网站。这种把戏十年前就有，现在还在用，因为总有人不看清楚。

网址安全检测，说到底就是别懒。多看一眼域名，多查一次whois，多问一句“这合理吗”。骗子利用的就是你手快的那一秒。

(责任编辑：时尚)