פצל קישור לפרוטוקול, מארח, יציאה, נתיב, שאילתה ופרגמנט, כפי שהדפדפן עושה.
כתובות URL ודומיינים של פישינג
מפרק קישורים
פועל מקומיתחדש
הכלי עצמו הוא באנגלית; דף זה מסביר את אופן השימוש בו בשפתך.
השתמש ב-מפרק קישורים
מה זה עושה
הדבק קישור אחד או יותר שעברו שינוי, או הודעה שלמה, כדי לראות את כל שכבות העטיפה, את היעד הסופי בצורתו ה"מרוקנת" וסימני אזהרה כגון שם משתמש לפני @, כתובת IP או פוניקוד.
היא פועלת כולה בדפדפן שלך: שום דבר שאתה מזין לא מועלה.
כיצד להשתמש ב-מפרק קישורים
- הדבק את הקישור או את ההודעה. הדבק קישור אחד עטוף בכל שורה, או דוא"ל שלם, הודעת צ'אט או קוד מקור HTML. קישורים מנוטרלים כגון hxxps://example[.]com מתקבלים, עד 500 קישורים ו-1 MB של טקסט.
- לפתוח את העטיפה. לחץ על "Unwrap" או על Ctrl+Enter. הדבקה בתיבה גם היא מפעילה את הריצה. שום דבר לא נשלח לשום מקום.
- קרא את השכבות. כל תוצאה מפרטת את ה-wrappers לפי סדר, יחד עם הפרמטר שהכיל את הכתובת הבאה, לדוגמה: הפניה של גוגל, q.
- בדוק את היעד. תיבת "יעד" מציגה את הכתובת הסופית ללא תוספות, ולכן לא ניתן ללחוץ עליה. האפשרות "העתק ללא עיבוד" מספקת את הכתובת המקורית לשימוש בהערות או בדוח.
- קרא את האזהרות. אזהרות אדומות מופיעות ראשונות, ואחריהן האזהרות הצהובות. אם אין אזהרות, זכרו שהכלי בודק רק את הכתובת, ולא את המוניטין של האתר.
- העבירו את זה הלאה. השתמש באפשרות "שלח אל…" כדי לפתוח את היעד ב-URL Parser או ב-Homoglyph Checker, או העתק את כל היעדים כאשר ההודעה כללה מספר קישורים.
דוגמה
קישורים בטוחים בנושא הגנה על כתובות URL
https://nam12.safelinks.protection.outlook.com/?url=https%3A%2F%2Furldefense.com%2Fv3%2F__https%3A%2F%2Flogin.example.com%40198.51.100.7%2Fverify*id%3D1__%3BPw!!AbCdEf!GhIjKl%24&data=05%7C02%7C%7Cc0ffee%7C0&reserved=01 link: 1 unwrapped, 1 with warnings.
Result 2 layers
Microsoft Defender Safe Links url
→ hxxps://urldefense[.]com/v3/__https://login[.]example[.]com[@]198[.]51[.]100[.]7/verify*id=1__;Pw!!AbCdEf!GhIjKl$
Proofpoint URL Defense path __…__ with 1 replaced character(s)
→ hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1
Destination
hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1
Copy raw
The URL has a user-info part before "@" ("login[.]example[.]com"). Browsers ignore it and go to 198[.]51[.]100[.]7.
The host is a bare IP address (198[.]51[.]100[.]7) instead of a domain name.שתי שכבות: Microsoft Defender Safe Links, ולאחר מכן Proofpoint URL Defense v3, המשחזרת את ה-? המוסתר מאחורי *. היעד hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1 מסומן: הטקסט שלפני @ הוא רק שם משתמש, והמארח האמיתי הוא כתובת ה-IP 198.51.100.7.
מה הוא בודק
| אות | מה זה אומר |
|---|---|
| שכבות עטיפה | כל פרמטר עטיפה או הפניה ידוע מפוענח שכבה אחת בכל פעם, עד 10 שכבות. שכבות מקוננות עשויות להיות דבר שגרתי בדואר מועבר, אך הן גם מסתירות את הכתובת במבט חטוף. |
| שם המשתמש לפני @ (אדום) | בכתובת https://login.example.com@198.51.100.7/ כל מה שנמצא לפני @ הוא רק שם משתמש. הדפדפן פונה למארח שנמצא אחריו, ולכן השם המוכר הוא רק קישוט. |
| כתובת ה-IP כמארח | מחשב מארח עם כתובת IPv4 או IPv6 בלבד מקבל אזהרה בצבע צהוב. מחשב מארח שנכתב כמספר עשרוני או הקסדצימלי, או בצורה יוצאת דופן אחרת, מסומן באדום ומוצג עם הכתובת שהדפדפן יפתח בפועל. |
| מארח מותאם לשפות זרות | מארח המכיל תווים שאינם ASCII או תווית xn-- מוצג ב-Unicode וב-punycode. בדקו אם יש בו תווים דומים לפני שתסמכו עליו. |
| שם מוכר בתחילת התוכנית | אם כתובת ה-host מתחילה במשהו כמו example.com, אך הדומיין הרשום בסוף שונה, הכלי מציין את הדומיין הרשום בפועל. |
| טקסט הקישור אינו תואם | בקישורים ב-HTML וב-Markdown, הטקסט הגלוי מושווה ליעד, ודומיין שונה מסומן באדום. בטקסט רגיל, דומיין שמופיע מיד לפני הקישור גורם להופעת אזהרה צהובה. |
| כתובת ה-URL של הסקריפט (אדום) | יעד מסוג javascript:, data: או vbscript: מריץ קוד או מציג תוכן במקום לפתוח דף אינטרנט. |
| קישור קצר או דומיין בלבד | לא ניתן לפענח מקצרי קישורים כגון bit.ly במצב לא מקוון, ולכן תקבל במקום זאת פקודת curl. קישורים של Mimecast וכמה קישורים של Sophos חושפים רק את דומיין היעד. |
| לולאות ונתונים חסרים | קישור שמפנה חזרה לעצמו, תהליך שנעצר לאחר 10 שכבות, או נתוני "הגנת URL" הקצרים מהסמנים שלהם – כל אלה מדווחים, מכיוון שהתוצאה עשויה להיות חלקית. |
דוגמאות נוספות
גוגל מפנה לשרת דומה
https://www.google.com/url?q=https://example.com.login-check.example.net/session&sa=D&source=editorsשכבה 1: הפניה מחדש של גוגל, פרמטר q. יעד: hxxps://example[.]com[.]login-check[.]example[.]net/session עם אזהרה צהובה: שם המארח מתחיל ב-"example[.]com", אך הדומיין הרשום הוא example[.]net.
הודעה המציינת אתר אחר
Sign in at example.com to keep your account: https://l.facebook.com/l.php?u=https%3A%2F%2Fsignin.example.net%2Faccount&h=AT0abcשכבה 1: קישור פיקטיבי לפייסבוק/Meta, פרמטר u. יעד: hxxps://signin[.]example[.]net/account. אזהרה צהובה: הטקסט שלפני הקישור מזכיר את example[.]com, אך הקישור מוביל ל-signin[.]example[.]net.
כתובת IP עשרונית בתוך הפניה מ-YouTube
https://www.youtube.com/redirect?q=http%3A%2F%2F3221226010%2Fprize&v=abcשכבה 1: הפניה מ-YouTube, הפרמטר q. יעד: hxxp://3221226010/prize. אזהרה אדומה: כתובת IP מוסתרת: המארח כתוב כ-3221226010, שדפדפנים קוראים כ-192[.]0[.]2[.]26.
שאלות נפוצות
אילו פורמטים הוא מפענח?
Microsoft Defender Safe Links, Proofpoint URL Defense v1, v2 ו-v3, קישורי Google /url ו-Ads, תוספים לקישורי פייסבוק, אינסטגרם ומסנג'ר, לינקדאין, Barracuda, Cisco Secure Email, Trend Micro, Sophos, Bing, הפניות מ-Steam, Slack, YouTube ו-VK, וכן פרמטרים להפניה כגון url=, u=, q=, target=, to=, dest=, redirect=, next= או link= המכילים כתובת URL. עטיפות מקוננות מפוענחות שכבה אחר שכבה.
מדוע קישורים מסוג t.co, lnkd.in ו-Mimecast אינם מפוענחים במלואם?
מקצרי קישורים כגון t.co ו-lnkd.in מאחסנים את כתובת היעד בשרתים שלהם, ולכן הכלי מציג את הפקודה `curl -sI`, המדפיסה את כותרת ה-Location מבלי לפתוח את הדף. קישורי Mimecast נושאים רק את דומיין היעד; הכתובת המלאה נשארת אצל Mimecast.
האם הקישור נפתח או נשלח למקום כלשהו?
לא. פעולת הפענוח היא עיבוד טקסט בעמוד זה: אף בקשה לא נשלחת לשירות העטיפה, למקצר הקישורים או ליעד. פקודת ה-curl מוצגת אך ורק כדי שתוכל להריץ אותה בעצמך, רצוי ממחשב מבודד.
האם אני יכול להדביק דוא"ל שלם או את קוד ה-HTML שלו?
כן. הכלי מאתר כל קישור http, https ו-www בטקסט, כולל קישורים ללא חלקי הכתובת. בקישורי HTML ובקישורי Markdown הוא גם קורא את טקסט הקישור הגלוי ומשווה אותו ליעד האמיתי. הוא מטפל בעד 500 קישורים וב-1 MB הראשון של הטקסט.
מדוע מספר ארוך מוצג ככתובת IP?
דפדפנים מקבלים כתובת IPv4 הכתובה כמספר עשרוני או הקסדצימלי יחיד, ולכן הכתובת http://3221226010/ פותחת את 192.0.2.26. קישורי פישינג מנצלים זאת כדי להסתיר את הכתובת מהמשתמשים וממסננים פשוטים, ולכן הכלי מסמן אותה באדום.
לא הוצגו אזהרות. האם היעד בטוח?
לא בהכרח. הכלי קורא רק את מבנה הכתובת. הוא אינו יודע מי מפעיל את האתר או אם הוא מופיע ברשימת החסימה. בדקו את היעד באמצעות DestroyList Check או Reputation Links לפני שתפתחו אותו.