Znajdź miejsce docelowe ukryte za usługami Safe Links, URL Defense i innymi nakładkami (Mimecast: domena).
Nowe
Adresy URL i domeny phishingowe
Analizator adresów URL
Działa lokalnie
Samo narzędzie jest w języku angielskim; na tej stronie znajdziesz wyjaśnienia w Twoim języku.
Użyj Analizator adresów URL
Jak to działa
Podziel adres URL na protokół, nazwę hosta, port, ścieżkę, zapytanie i fragment za pomocą wbudowanego w przeglądarkę narzędzia do analizy adresów URL, aby sprawdzić, do jakiego hosta faktycznie prowadzi dany link.
Działa całkowicie w przeglądarce: żadne wprowadzone dane nie są przesyłane.
Jak korzystać z Analizator adresów URL
- Wklej pełny link. Zastąp przykładowy adres URL linkiem, który chcesz sprawdzić. Pamiętaj, aby podać schemat, np. https://, w przeciwnym razie parsowanie zakończy się niepowodzeniem.
- Analiza. Naciśnij przycisk „Parse” lub klawisz Enter. Strona korzysta z wbudowanego w przeglądarkę modułu analizującego adresy URL i nie otwiera linku.
- Sprawdź nazwę hosta. Nazwa hosta to serwer, z którym nawiązuje połączenie przeglądarka. Spójrz na nią od końca: zarejestrowana domena to ostatnia część, a nie pierwsza.
- Sprawdź port, ścieżkę i skrót. W polu „Port” wyświetlany jest domyślny port. Pola „Pathname”, „Search” i „Hash” pokazują pozostałą część adresu po jego normalizacji przez przeglądarkę.
- Odczytaj parametry zapytania. W tabeli wymieniono wszystkie klucze wraz z ich zdekodowanymi wartościami. Poszukaj drugiego adresu URL, adresu e-mail lub tokenu.
- Zrób kolejny krok. Skorzystaj z opcji „Wyślij do…”, aby rozpakować link w programie Link Unwrapper, sprawdzić adres hosta w narzędziu Homoglyph Checker lub znaleźć dane kontaktowe do zgłoszenia nadużycia.
Przykład
Nazwa marki przed znakiem @
https://paypal.com@account-verify.example/signin?session=8f3a2c&next=%2Fwallet#step-2PROTOCOL
https:
HOSTNAME
account-verify.example
PORT
default
PATHNAME
/signin
SEARCH
?session=8f3a2c&next=%2Fwallet
HASH
#step-2
Query params
KEY VALUE
session 8f3a2c
next /walletNazwa hosta to account-verify.example: część przed znakiem @ to jedynie nazwa użytkownika, a narzędzie nie wyświetla jej jako pola. Tabela zapytań pokazuje „session” i „next”, zdekodowane jako /wallet.
Co jest sprawdzane
| Sygnał | Co to oznacza |
|---|---|
| Protokół | http: oznacza, że połączenie nie jest szyfrowane. W przypadku schematu takiego jak javascript: pole „Nazwa hosta” jest puste, ponieważ link ten w ogóle nie jest adresem internetowym. |
| Nazwa hosta | Rzeczywisty adres docelowy. Wszystko przed znakiem @ jest pomijane, adresy IPv4 w formacie dziesiętnym, szesnastkowym i ósemkowym są przekształcane na adresy z kropkami, a nazwy spoza zestawu znaków ASCII są wyświetlane w formacie xn-- punycode. |
| Port | domyślny port standardowy, nawet jeśli w adresie https widnieje numer :443. Każda inna liczba oznacza port niestandardowy, co jest rzadkością w przypadku publicznej strony logowania. |
| Ścieżka dostępu | Ścieżka po tym, jak przeglądarka przetworzyła segmenty „../” i zamieniła odwrotne ukośniki na ukośniki, dzięki czemu widać, dokąd faktycznie trafia żądanie. |
| Wyszukiwanie | Surowy ciąg zapytania, nadal zakodowany, dokładnie taki, jaki zostałby wysłany do serwera. |
| Hash | Fragment znajdujący się za znakiem #. Nie jest on wysyłany na serwer, ale skrypty na stronie mogą go odczytać, więc może zawierać dane, takie jak adres e-mail. |
| Tabela parametrów zapytań | Każda para klucz-wartość, z wartościami wyrażonymi w procentach i znakiem „+” traktowanym jako spacja. Wartość, która sama w sobie jest adresem URL, stanowi cel przekierowania. |
| Brakujące informacje o użytkowniku | Część przed znakiem @, np. nazwa marki, nie pojawia się w żadnym polu. Jeśli w linku między znakami // a kolejnym znakiem / znajduje się znak @, to znana nazwa przed tym znakiem to jedynie nazwa użytkownika. |
Więcej przykładów
Znana nazwa przed inną domeną
https://login.example.com.secure-check.example.net:8443/reset?token=abc&email=bob%40example.org#doneProtokół https:, nazwa hosta login.example.com.secure-check.example.net, port 8443, ścieżka /reset, zapytanie ?token=abc&email=bob%40example.org, skrót #done. Parametry zapytania: token = abc, email = bob@example.org. Zarejestrowaną domeną jest example.net.
Połącz przepisy dotyczące przeglądarki
https://203.0.113.9:443/admin/../panel/?redirect=https%3A%2F%2Fexample.org&q=a+bNazwa hosta 203.0.113.9, domyślny port, ścieżka /panel/, skrót —. Parametry zapytania: redirect = https://example.org oraz q = a b.
Adres IPv4 zapisany w systemie ósemkowym
http://0300.0000.0002.0001/Protokół http:, nazwa hosta 192.0.2.1, port domyślny, ścieżka /, wyszukiwanie — oraz hash —. Każda część poprzedzona zerem jest interpretowana jako liczba ósemkowa.
Najczęściej zadawane pytania
W jaki sposób pomaga to w przypadku linków phishingowych?
Pokazuje nazwę hosta, z którą przeglądarka faktycznie nawiąże połączenie. W adresie https://paypal.com@evil.example/ hostem jest evil.example, adresy hostów w formacie dziesiętnym lub szesnastkowym, takie jak http://3221225985/, są wyświetlane jako adresy IPv4 w formacie z kropkami (192.0.2.1), a domeny Unicode o podobnym wyglądzie pojawiają się w postaci xn-- w kodowaniu punycode.
Czego nie pokazuje ani nie sprawdza?
Część adresu URL zawierająca nazwę użytkownika i hasło nie jest wyświetlana, a narzędzie nie śledzi przekierowań, nie rozpakowuje bezpiecznych linków ani nie ocenia serwera. Tekst bez schematu, np. example.com/login, powoduje wyświetlenie błędu „Nieprawidłowy adres URL”.
Czy adres URL jest otwierany lub wysyłany gdzieś?
Nie. Analiza tej strony odbywa się za pomocą interfejsu API adresów URL przeglądarki; link nigdy nie jest wywoływany i nic nie jest przesyłane.
Jak znaleźć zarejestrowaną domenę w nazwie hosta?
Czytaj od prawej. W adresie login.example.com.secure-check.example.net dwie ostatnie etykiety, example.net, to domena zarejestrowana przez użytkownika, a wszystko przed nimi to wybrana przez niego poddomena. Końcówki krajowe, takie jak co.uk, składają się z trzech etykiet.
Dlaczego zapytanie wyświetla się dwukrotnie?
Wyszukiwany tekst to surowy tekst występujący po znaku „?”, nadal zakodowany, w postaci, w jakiej serwer go odbiera. Tabela dekoduje każdą wartość, więc %40 zamienia się na @, a + na spację.
Czy mogę wkleić link bez aktywnego linku?
Nie bezpośrednio. Link zawierający znak [.] nie daje się przeanalizować, a hxxps:// jest rozpoznawane jako nieznany schemat o nazwie hxxps:. Najpierw należy go przetworzyć za pomocą programu URL Defanger lub skorzystać z narzędzia Link Unwrapper, które akceptuje dane wejściowe przetworzone przez URL Defanger.