Podziel link na protokół, nazwę hosta, port, ścieżkę, zapytanie i fragment, tak jak robi to przeglądarka.
Adresy URL i domeny phishingowe
Rozpakowywanie linków
Działa lokalnieNowe
Samo narzędzie jest w języku angielskim; na tej stronie znajdziesz wyjaśnienia w Twoim języku.
Użyj Rozpakowywanie linków
Jak to działa
Wklej jeden lub więcej przerobionych linków albo całą wiadomość, aby zobaczyć wszystkie warstwy opakowujące, ostateczny adres docelowy w postaci pozbawionej niebezpiecznych elementów oraz sygnały ostrzegawcze, takie jak nazwa użytkownika przed znakiem @, adres IP lub kod punycode.
Działa całkowicie w przeglądarce: żadne wprowadzone dane nie są przesyłane.
Jak korzystać z Rozpakowywanie linków
- Wklej link lub wiadomość. Wklej po jednym linku w osobnym wierszu lub całą wiadomość e-mail, wiadomość z czatu lub kod źródłowy HTML. Akceptowane są linki z usuniętymi niebezpiecznymi elementami, takie jak hxxps://example[.]com – maksymalnie 500 linków i 1 MB tekstu.
- Rozpakuj. Naciśnij przycisk „Unwrap” lub klawisze Ctrl+Enter. Wklejenie treści do pola również uruchamia proces. Żadne dane nie są nigdzie wysyłane.
- Odczytaj warstwy. W każdym wyniku wymieniono opakowania w kolejności wraz z parametrem zawierającym adres następnego elementu, na przykład przekierowanie Google, q.
- Sprawdź miejsce docelowe. W polu „Adres docelowy” wyświetlany jest adres docelowy bez znaków specjalnych, więc nie można go kliknąć. Opcja „Kopiuj w postaci surowej” pozwala uzyskać adres w postaci nieprzetworzonej, który można wykorzystać w notatkach lub raporcie.
- Zapoznaj się z ostrzeżeniami. Najpierw pojawiają się czerwone ostrzeżenia, a potem żółte. Jeśli nie ma żadnych ostrzeżeń, pamiętaj, że narzędzie sprawdza jedynie adres, a nie reputację strony.
- Przekaż to dalej. Użyj opcji „Wyślij do…”, aby otworzyć adres docelowy w programie URL Parser lub Homoglyph Checker, lub skopiuj wszystkie adresy docelowe, jeśli wiadomość zawierała kilka linków.
Przykład
Bezpieczne linki w ramach ochrony adresów URL
https://nam12.safelinks.protection.outlook.com/?url=https%3A%2F%2Furldefense.com%2Fv3%2F__https%3A%2F%2Flogin.example.com%40198.51.100.7%2Fverify*id%3D1__%3BPw!!AbCdEf!GhIjKl%24&data=05%7C02%7C%7Cc0ffee%7C0&reserved=01 link: 1 unwrapped, 1 with warnings.
Result 2 layers
Microsoft Defender Safe Links url
→ hxxps://urldefense[.]com/v3/__https://login[.]example[.]com[@]198[.]51[.]100[.]7/verify*id=1__;Pw!!AbCdEf!GhIjKl$
Proofpoint URL Defense path __…__ with 1 replaced character(s)
→ hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1
Destination
hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1
Copy raw
The URL has a user-info part before "@" ("login[.]example[.]com"). Browsers ignore it and go to 198[.]51[.]100[.]7.
The host is a bare IP address (198[.]51[.]100[.]7) instead of a domain name.Dwie warstwy: Microsoft Defender Safe Links, a następnie Proofpoint URL Defense v3, który przywraca znak „?” ukryty za symbolem „*”. Adres docelowy hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1 jest oznaczony jako podejrzany: tekst przed znakiem @ to jedynie nazwa użytkownika, a prawdziwym hostem jest adres IP 198.51.100.7.
Co jest sprawdzane
| Sygnał | Co to oznacza |
|---|---|
| Warstwy opakowujące | Każdy znany parametr opakowujący lub przekierowujący jest dekodowany warstwa po warstwie, maksymalnie do 10 warstw. Zagnieżdżone warstwy mogą być zjawiskiem normalnym w przekazywanej poczcie, ale jednocześnie utrudniają szybkie rozpoznanie adresu. |
| Nazwa użytkownika przed znakiem @ (czerwona) | W adresie https://login.example.com@198.51.100.7/ wszystko przed znakiem @ to jedynie nazwa użytkownika. Przeglądarka przechodzi do hosta znajdującego się po tym znaku, więc znana nazwa pełni jedynie funkcję dekoracyjną. |
| Adres IP jako nazwa hosta | Host z samym adresem IPv4 lub IPv6 jest oznaczony żółtym ostrzeżeniem. Host zapisany jako liczba dziesiętna lub szesnastkowa albo w innej nietypowej formie jest oznaczony na czerwono i wyświetlany wraz z adresem, pod którym przeglądarka faktycznie otworzyłaby stronę. |
| Host z obsługą międzynarodową | Adres hosta zawierający znaki spoza zestawu ASCII lub etykietę „xn--” jest wyświetlany w formacie Unicode i punycode. Przed zaufaniem temu adresowi sprawdź, czy nie zawiera on znaków łudząco podobnych. |
| Znane nazwisko na początku listy gospodarzy | Jeśli nazwa serwera zaczyna się od czegoś w rodzaju example.com, ale zarejestrowana domena na końcu jest inna, narzędzie podaje nazwę rzeczywistej zarejestrowanej domeny. |
| Tekst linku nie jest zgodny | W linkach HTML i Markdown widoczny tekst jest porównywany z adresem docelowym, a linki prowadzące do innej domeny są zaznaczane na czerwono. W zwykłym tekście domena wymieniona tuż przed linkiem powoduje wyświetlenie żółtego ostrzeżenia. |
| Adres URL skryptu (czerwony) | Adres docelowy typu „javascript:”, „data:” lub „vbscript:” powoduje uruchomienie kodu lub wyświetlenie treści zamiast otwarcia strony internetowej. |
| Krótki link lub sama domena | Skracaczy adresów, takich jak bit.ly, nie da się odszyfrować w trybie offline, więc zamiast tego otrzymujesz polecenie curl. Linki Mimecast i niektóre linki Sophos ujawniają jedynie domenę docelową. |
| Pętle i niekompletne dane | Zgłaszane są: link odsyłający do samego siebie, przebieg zatrzymany po 10 warstwach lub dane z funkcji URL Defense krótsze od swoich znaczników, ponieważ wynik może być niekompletny. |
Więcej przykładów
Google przekierowuje na serwer o podobnej nazwie
https://www.google.com/url?q=https://example.com.login-check.example.net/session&sa=D&source=editors1. warstwa: przekierowanie Google, parametr q. Adres docelowy: hxxps://example[.]com[.]login-check[.]example[.]net/session z żółtym ostrzeżeniem: Nazwa hosta zaczyna się od „example[.]com”, ale zarejestrowana domena to example[.]net.
Wiadomość, w której podano nazwę innej strony
Sign in at example.com to keep your account: https://l.facebook.com/l.php?u=https%3A%2F%2Fsignin.example.net%2Faccount&h=AT0abc1. warstwa: fałszywy link do serwisu Facebook / Meta, parametr u. Adres docelowy: hxxps://signin[.]example[.]net/account. Żółte ostrzeżenie: Tekst przed linkiem zawiera wzmiankę o example[.]com, ale link prowadzi do strony signin[.]example[.]net.
Adres IP w formacie dziesiętnym w przekierowaniu z serwisu YouTube
https://www.youtube.com/redirect?q=http%3A%2F%2F3221226010%2Fprize&v=abc1 warstwa: przekierowanie z YouTube, parametr q. Adres docelowy: hxxp://3221226010/prize. Czerwone ostrzeżenie: Zaszyfrowany adres IP: nazwa hosta jest zapisana jako 3221226010, co przeglądarki odczytują jako 192[.]0[.]2[.]26.
Najczęściej zadawane pytania
Jakie formaty plików obsługuje?
Microsoft Defender Safe Links, Proofpoint URL Defense w wersjach v1, v2 i v3, linki Google /url i Ads, nakładki na linki w serwisach Facebook, Instagram i Messenger, LinkedIn, Barracuda, Cisco Secure Email, Trend Micro, Sophos, Bing, przekierowania ze serwisów Steam, Slack, YouTube i VK, a także parametry przekierowań, takie jak url=, u=, q=, target=, to=, dest=, redirect=, next= lub link=, zawierające adres URL. Zagnieżdżone opakowania są dekodowane warstwa po warstwie.
Dlaczego linki t.co, lnkd.in i Mimecast nie są w pełni dekodowane?
Serwisy skracające linki, takie jak t.co i lnkd.in, przechowują adres docelowy na własnych serwerach, dlatego narzędzie wyświetla polecenie `curl -sI`, które wyświetla nagłówek `Location` bez otwierania strony. Linki Mimecast zawierają jedynie domenę docelową; pełny adres pozostaje w systemie Mimecast.
Czy link jest otwierany lub gdzieś przesyłany?
Nie. Dekodowanie na tej stronie polega na przetwarzaniu tekstu: żadne żądanie nie jest wysyłane do usługi opakowującej, serwisu skracającego ani do miejsca docelowego. Polecenie `curl` jest wyświetlane wyłącznie po to, abyś mógł je samodzielnie uruchomić, najlepiej na odizolowanym komputerze.
Czy mogę wkleić całą wiadomość e-mail lub jej kod źródłowy HTML?
Tak. Narzędzie wykrywa wszystkie linki http, https i www w tekście, w tym te, których adresy zostały zneutralizowane. W przypadku kotwic HTML i linków Markdown odczytuje również widoczny tekst linku i porównuje go z rzeczywistym adresem docelowym. Obsługuje do 500 linków i pierwszy 1 MB tekstu.
Dlaczego długi numer jest wyświetlany jako adres IP?
Przeglądarki akceptują adres IPv4 zapisany jako pojedyncza liczba dziesiętna lub szesnastkowa, więc adres http://3221226010/ otwiera stronę 192.0.2.26. Linki phishingowe wykorzystują tę właściwość, aby ukryć adres przed użytkownikami i prostymi filtrami, dlatego narzędzie zaznacza go na czerwono.
Nie wyświetlono żadnych ostrzeżeń. Czy miejsce docelowe jest bezpieczne?
Niekoniecznie. Narzędzie to odczytuje jedynie strukturę adresu. Nie wie, kto prowadzi tę stronę ani czy znajduje się ona na liście zablokowanych stron. Przed otwarciem strony sprawdź ją za pomocą serwisu DestroyList Check lub Reputation Links.