ブラウザと同じように、リンクをプロトコル、ホスト、ポート、パス、クエリ、フラグメントに分解します。
リンクアンラッパー
ローカルで動作新着
ツール自体は英語ですが、このページではお客様の言語でその使い方を説明しています。
リンクアンラッパー を使用してください
機能の説明
書き換えられたリンクを1つ以上、またはメッセージ全体を貼り付けると、ラッパーのすべての層、デファングした最終的な移動先、そして@の前のユーザー名、IPアドレスのホスト、Punycodeなどの警告の兆候が表示されます。
すべてブラウザ上で動作します。入力した内容は一切アップロードされません。
リンクアンラッパー の使い方
- リンクやメッセージを貼り付ける. ラップされたリンクを1行に1つずつ、またはメール、チャットメッセージ、HTMLソース全体を貼り付けます。hxxps://example[.]comのようなデファングされたリンクも受け付け、最大500個のリンクと1 MBのテキストまで扱えます。
- 展開する. Unwrap（展開）またはCtrl+Enterを押します。枠に貼り付けた時点でも実行が始まります。何も送信されません。
- 層を読む. 各結果には、ラッパーが順番に一覧表示され、次のアドレスを保持していたパラメータ（たとえばGoogle redirect、q）も示されます。
- 移動先を確認する. Destinationの枠には、クリックできないようデファングされた最終的なアドレスが表示されます。Copy rawを使うと、メモや通報用に実際に機能するアドレスが得られます。
- 警告を読む. 赤の警告が先に、黄色の警告がその後に表示されます。警告がなくても、ツールはアドレスを読むだけで、サイトの評判は調べないことを覚えておいてください。
- 引き渡す. Send to…を使って移動先をURL ParserやHomoglyph Checkerで開くか、メッセージに複数のリンクがあった場合はCopy all destinationsを使います。
例
URL Defenseを包むSafe Links
https://nam12.safelinks.protection.outlook.com/?url=https%3A%2F%2Furldefense.com%2Fv3%2F__https%3A%2F%2Flogin.example.com%40198.51.100.7%2Fverify*id%3D1__%3BPw!!AbCdEf!GhIjKl%24&data=05%7C02%7C%7Cc0ffee%7C0&reserved=01 link: 1 unwrapped, 1 with warnings.
Result 2 layers
Microsoft Defender Safe Links url
→ hxxps://urldefense[.]com/v3/__https://login[.]example[.]com[@]198[.]51[.]100[.]7/verify*id=1__;Pw!!AbCdEf!GhIjKl$
Proofpoint URL Defense path __…__ with 1 replaced character(s)
→ hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1
Destination
hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1
Copy raw
The URL has a user-info part before "@" ("login[.]example[.]com"). Browsers ignore it and go to 198[.]51[.]100[.]7.
The host is a bare IP address (198[.]51[.]100[.]7) instead of a domain name.2つの層があります。Microsoft Defender Safe Links、続いてProofpoint URL Defense v3で、後者は*に置き換えられていた?を復元します。移動先hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1は警告されます。@の前のテキストはユーザー名にすぎず、実際のホストはIP 198.51.100.7です。
チェック対象
| シグナル | その意味 |
|---|---|
| ラッパーの層 | 既知のラッパーやリダイレクトのパラメータは、最大10層まで1層ずつ解読されます。転送されたメールでは入れ子の層は普通のこともありますが、ぱっと見でアドレスがわからないようにする効果もあります。 |
| @の前のユーザー名（赤） | https://login.example.com@198.51.100.7/では、@より前はすべてユーザー名にすぎません。ブラウザは@の後のホストに移動するため、見慣れた名前は飾りです。 |
| ホストとしてのIPアドレス | IPv4やIPv6のアドレスだけのホストには黄色の警告が付きます。1つの10進数や16進数で書かれたホスト、その他の変わった形式のホストは赤になり、ブラウザが実際に開くアドレスとともに表示されます。 |
| 国際化ドメインのホスト | ASCII以外の文字やxn--ラベルを含むホストは、UnicodeとPunycodeで表示されます。信頼する前に、似た文字が使われていないか確認してください。 |
| ホストの先頭にある見慣れた名前 | ホストがexample.com.のような文字列で始まっていても、末尾の登録ドメインが異なる場合、ツールは本当の登録ドメインを示します。 |
| リンクのテキストが一致しない | HTMLやMarkdownのリンクでは表示テキストと移動先が比較され、ドメインが異なれば赤になります。プレーンテキストでは、リンクの直前にドメイン名が書かれている場合に黄色の警告が付きます。 |
| スクリプトのURL（赤） | javascript:、data:、vbscript:の移動先は、Webページを開く代わりにコードを実行したり内容を描画したりします。 |
| 短縮リンクまたはドメインのみ | bit.lyなどの短縮サービスはオフラインでは解読できないため、代わりにcurlコマンドが表示されます。Mimecastや一部のSophosのリンクは、移動先のドメインしか明かしません。 |
| ループと不完全なデータ | 自分自身を指すリンク、10層で停止した処理、マーカーより短いURL Defenseのデータは、結果が不完全な可能性があるため報告されます。 |
その他の例
類似ホストへのGoogleリダイレクト
https://www.google.com/url?q=https://example.com.login-check.example.net/session&sa=D&source=editors1層：Google redirect、パラメータq。移動先hxxps://example[.]com[.]login-check[.]example[.]net/sessionに黄色の警告が付きます：ホストは「example[.]com.」で始まっているが、登録ドメインはexample[.]netである。
別のサイト名を挙げるメッセージ
Sign in at example.com to keep your account: https://l.facebook.com/l.php?u=https%3A%2F%2Fsignin.example.net%2Faccount&h=AT0abc1層：Facebook / Meta link shim、パラメータu。移動先hxxps://signin[.]example[.]net/account。黄色の警告：リンクの前のテキストはexample[.]comに言及しているが、リンクはsignin[.]example[.]netに移動する。
YouTubeリダイレクト内の10進数IP
https://www.youtube.com/redirect?q=http%3A%2F%2F3221226010%2Fprize&v=abc1層：YouTube redirect、パラメータq。移動先hxxp://3221226010/prize。赤の警告：難読化されたIPアドレス。ホストは3221226010と書かれており、ブラウザはこれを192[.]0[.]2[.]26として読みます。
よくある質問
どのラッパーを解読しますか？
Microsoft Defender Safe Links、Proofpoint URL Defense v1、v2、v3、Google /url および広告リンク、Facebook、Instagram、Messenger のリンクシム、LinkedIn、Barracuda、Cisco Secure Email、Trend Micro、Sophos、Bing、 Steam、Slack、YouTube、VKのリダイレクト、および URL を保持する url=、u=、q=、target=、to=、dest=、redirect=、next=、link= などのリダイレクトパラメータ。ネストされたラッパーは、1 層ずつデコードされます。
t.co、lnkd.in、Mimecastのリンクが完全には解読されないのはなぜですか？
t.coやlnkd.inのような短縮サービスは、移動先を自社のサーバーに保存しています。そのためツールは、ページを開かずにLocationヘッダーを表示するcurl -sIコマンドを示します。Mimecastのリンクには移動先のドメインしか含まれておらず、完全なアドレスはMimecast側にあります。
リンクを開いたり、どこかへ送信したりしますか？
いいえ。解読はこのページ上でのテキスト処理です。ラッパーのサービス、短縮サービス、移動先のいずれにもリクエストは送られません。curlコマンドは、あなた自身が実行するために表示されるだけです。できれば隔離されたマシンから実行してください。
メール全体やそのHTMLソースを貼り付けられますか？
はい。ツールはテキスト内のhttp、https、wwwのリンクを、デファングされたものも含めてすべて見つけます。HTMLのアンカーやMarkdownのリンクでは、表示されるリンクテキストも読み取り、本当の移動先と比較します。扱えるのは最大500個のリンクと、テキストの最初の1 MBです。
長い数値がIPアドレスとして表示されるのはなぜですか？
ブラウザは、1つの10進数や16進数で書かれたIPv4アドレスを受け付けるため、http://3221226010/は192.0.2.26を開きます。フィッシングリンクはこれを利用して人や単純なフィルターからアドレスを隠すため、ツールは赤で示します。
警告が表示されませんでした。移動先は安全ですか？
必ずしもそうではありません。ツールが読むのはアドレスの構造だけです。誰がサイトを運営しているか、ブロックリストに載っているかはわかりません。開く前に、DestroyList CheckやReputation Linksで移動先を確認してください。