网络钓鱼新模式，黑客利用连字符伪造 URL

PhishLabs 安全研究人员发现一种新型钓鱼方式，允许黑客利用手机端 URL 地址栏长度不足的劣势引导用户进入钓鱼网站。目前，这一手段已让大量在手机端使用 Facebook 的用户纷纷中招。

研究人员透露，新的攻击策略依赖于移动浏览器 URL 地址栏过窄，从而阻碍了用户查看全部链接内容的漏洞。据悉，黑客利用子域名和连字符等字符串填充 URL，让整个链接在移动设备中看起来极其真实，可一旦用户进入则会被引导至钓鱼网址。

此外，该公司还提供了一个例子，比如 -hxxp：//m.facebook.com，这里 http 已被 hxxp 替代。而多数时候用户并不能清楚分辨，但是他们访问的已经是一个钓鱼网址了。他们在该网址的所有动作都会把自身数据传输至黑客手中，而黑客会再利用这些数据通过垃圾邮件把钓鱼网址发送给用户周边的朋友，从而感染更多用户。

事实上，这一点曾在 PC 端出现过，但由于 PC 端的地址栏较长，一些钓鱼网址极易识破。而在手机端，URL 填充方法就非常有效地掩盖了网站的真实域名，移动用户很难发现这一问题。解决这一问题的办法在于确认并检查完整域名，而不仅是 HTTP 的部分，因为每一个字符的错误都可能进入钓鱼网站。此外，安全扫描，屏蔽多数钓鱼网站且不要点击短信和邮件里的链接，因为这些链接的危险度较高，如果有必要一定要仔细检查。

稿源：中关村在线，封面源自网络

from hackernews.cc.thanks for it.