Împarte un link în protocol, gazdă, port, cale, interogare și fragment, așa cum procedează browserul.
URL-uri și domenii de phishing
Decompresor de linkuri
Rulează localNou
Instrumentul în sine este în limba engleză; această pagină îl explică în limba ta.
Folosește Decompresor de linkuri
Ce face
Lipiți unul sau mai multe linkuri modificate sau un mesaj întreg pentru a vedea fiecare strat de înveliș, destinația finală în formă „nepericuloasă” și semnele de avertizare, cum ar fi un nume de utilizator înainte de simbolul @, o adresă IP sau un cod punycode.
Aplicația funcționează în întregime în browserul tău: nimic din ce introduci nu este încărcat pe server.
Cum se utilizează Decompresor de linkuri
- Lipește linkul sau mesajul. Lipiți câte un link încadrat pe fiecare rând sau un e-mail întreg, un mesaj de chat sau codul sursă HTML. Sunt acceptate linkurile neutralizate, cum ar fi hxxps://example[.]com, până la 500 de linkuri și 1 MB de text.
- Desfăcătură. Apăsați butonul „Unwrap” sau tastați Ctrl+Enter. Și lipirea textului în casetă declanșează execuția. Nu se trimite nimic nicăieri.
- Citește straturile. Fiecare rezultat afișează wrapper-urile în ordine, împreună cu parametrul care conținea adresa următoare, de exemplu redirecționarea Google, q.
- Verificați destinația. Câmpul „Destinație” afișează adresa finală fără caractere speciale, astfel încât nu poate fi selectat. Opțiunea „Copiere brută” vă oferă adresa în format brut, utilă pentru note sau rapoarte.
- Citiți avertismentele. Mai întâi apar avertismentele roșii, apoi cele galbene. Dacă nu există niciunul, rețineți că instrumentul citește doar adresa, nu și reputația site-ului.
- Spune-le și altora. Folosiți opțiunea „Trimite către…” pentru a deschide destinația în URL Parser sau Homoglyph Checker, sau copiați toate destinațiile atunci când mesajul conține mai multe linkuri.
Exemplu
Linkuri sigure în cadrul sistemului de protecție a adreselor URL
https://nam12.safelinks.protection.outlook.com/?url=https%3A%2F%2Furldefense.com%2Fv3%2F__https%3A%2F%2Flogin.example.com%40198.51.100.7%2Fverify*id%3D1__%3BPw!!AbCdEf!GhIjKl%24&data=05%7C02%7C%7Cc0ffee%7C0&reserved=01 link: 1 unwrapped, 1 with warnings.
Result 2 layers
Microsoft Defender Safe Links url
→ hxxps://urldefense[.]com/v3/__https://login[.]example[.]com[@]198[.]51[.]100[.]7/verify*id=1__;Pw!!AbCdEf!GhIjKl$
Proofpoint URL Defense path __…__ with 1 replaced character(s)
→ hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1
Destination
hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1
Copy raw
The URL has a user-info part before "@" ("login[.]example[.]com"). Browsers ignore it and go to 198[.]51[.]100[.]7.
The host is a bare IP address (198[.]51[.]100[.]7) instead of a domain name.Două straturi: Microsoft Defender Safe Links, apoi Proofpoint URL Defense v3, care restabilește caracterul „?” ascuns în spatele simbolului „*”. Destinația hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1 este semnalată: textul dinaintea simbolului @ este doar un nume de utilizator, iar gazda reală este adresa IP 198.51.100.7.
Ce verifică
| Semnal | Ce înseamnă asta |
|---|---|
| Straturi de înveliș | Fiecare parametru de înveliș sau de redirecționare cunoscut este decodat câte un strat pe rând, până la 10 straturi. Straturile imbricate pot fi ceva obișnuit în e-mailurile redirecționate, dar ele ascund adresa la o privire rapidă. |
| Numele de utilizator înainte de @ (roșu) | În adresa https://login.example.com@198.51.100.7/, tot ce se află înainte de @ este doar un nume de utilizator. Browserul accesează gazda care urmează după acesta, așa că numele familiar are doar rol decorativ. |
| Adresa IP ca gazdă | O adresă IPv4 sau IPv6 afișată simplă primește o avertizare galbenă. O adresă afișată sub forma unui număr zecimal sau hexazecimal, sau într-o altă formă neobișnuită, este marcată cu roșu și este afișată împreună cu adresa pe care browserul ar deschide-o efectiv. |
| Gazdă internaționalizată | O adresă de gazdă care conține caractere non-ASCII sau o etichetă „xn--” este afișată în format Unicode și Punycode. Verificați dacă nu conține caractere care seamănă cu altele înainte de a o considera de încredere. |
| Un nume cunoscut la începutul emisiunii | Dacă o adresă de gazdă începe cu ceva de genul example.com, dar domeniul înregistrat de la sfârșit este diferit, instrumentul indică domeniul real înregistrat. |
| Textul linkului nu corespunde | În cazul linkurilor HTML și Markdown, textul vizibil este comparat cu destinația, iar un domeniu diferit este afișat în roșu. În textul simplu, un domeniu menționat imediat înaintea linkului generează o avertizare galbenă. |
| URL-ul scriptului (roșu) | O destinație de tip javascript:, data: sau vbscript: execută cod sau afișează conținut în loc să deschidă o pagină web. |
| Link scurt sau doar domeniu | Serviciile de scurtare a linkurilor, precum bit.ly, nu pot fi decodificate offline, așa că veți primi în schimb o comandă curl. Linkurile Mimecast și unele dintre cele ale Sophos dezvăluie doar domeniul de destinație. |
| Bucle și date incomplete | Se raportează o legătură care redirecționează către ea însăși, o execuție oprită după 10 straturi sau date din URL Defense mai scurte decât marcatorii acestora, deoarece rezultatul poate fi incomplet. |
Alte exemple
Google redirecționează către un server similar
https://www.google.com/url?q=https://example.com.login-check.example.net/session&sa=D&source=editorsStratul 1: Redirecționare Google, parametrul q. Destinația hxxps://example[.]com[.]login-check[.]example[.]net/session, cu un avertisment galben: Numele de gazdă începe cu „example[.]com”, dar domeniul înregistrat este example[.]net.
Mesaj care menționează un alt site
Sign in at example.com to keep your account: https://l.facebook.com/l.php?u=https%3A%2F%2Fsignin.example.net%2Faccount&h=AT0abcStratul 1: Link de redirecționare Facebook / Meta, parametrul u. Destinație: hxxps://signin[.]example[.]net/account. Avertisment galben: Textul dinaintea linkului menționează example[.]com, dar linkul redirecționează către signin[.]example[.]net.
Adresă IP zecimală într-o redirecționare YouTube
https://www.youtube.com/redirect?q=http%3A%2F%2F3221226010%2Fprize&v=abc1 strat: redirecționare YouTube, parametrul q. Destinație: hxxp://3221226010/prize. Avertisment roșu: adresă IP ascunsă: gazda este scrisă ca 3221226010, pe care browserele o interpretează ca 192[.]0[.]2[.]26.
Întrebări frecvente
Ce tipuri de fișiere decodifică?
Microsoft Defender Safe Links, Proofpoint URL Defense v1, v2 și v3, linkuri Google /url și Ads, linkuri de tip „shim” pentru Facebook, Instagram și Messenger, LinkedIn, Barracuda, Cisco Secure Email, Trend Micro, Sophos, Bing, redirecționări către Steam, Slack, YouTube și VK, precum și parametrii de redirecționare precum url=, u=, q=, target=, to=, dest=, redirect=, next= sau link= care conțin o adresă URL. Învelișurile imbricate sunt decodificate câte un strat pe rând.
De ce linkurile t.co, lnkd.in și Mimecast nu sunt decodate complet?
Serviciile de scurtare a linkurilor, precum t.co și lnkd.in, stochează adresa de destinație pe propriile servere, astfel încât instrumentul afișează o comandă „curl -sI” care afișează antetul „Location” fără a deschide pagina. Linkurile Mimecast conțin doar domeniul de destinație; adresa completă rămâne la Mimecast.
Linkul este deschis sau trimis undeva?
Nu. Decodarea reprezintă o operație de procesare a textului pe această pagină: nicio solicitare nu este trimisă către serviciul de înveliș, serviciul de scurtare a linkurilor sau destinație. Comanda curl este afișată doar pentru ca tu să o poți rula, de preferință de pe un computer izolat.
Pot să lipesc un e-mail întreg sau codul sursă HTML al acestuia?
Da. Instrumentul identifică toate linkurile http, https și www din text, inclusiv cele neactive. În cazul ancorelor HTML și al linkurilor Markdown, acesta citește și textul vizibil al linkului și îl compară cu destinația reală. Poate procesa până la 500 de linkuri și primul 1 MB de text.
De ce apare un număr lung ca adresă IP?
Browserele acceptă o adresă IPv4 scrisă sub forma unui singur număr zecimal sau hexazecimal, astfel încât http://3221226010/ deschide 192.0.2.26. Linkurile de phishing folosesc această caracteristică pentru a ascunde adresa de utilizatori și de filtrele simple, motiv pentru care instrumentul o marchează cu roșu.
Nu au fost afișate avertismente. Destinația este sigură?
Nu neapărat. Instrumentul citește doar structura adresei. Nu știe cine administrează site-ul sau dacă acesta se află pe o listă de blocare. Verificați destinația folosind DestroyList Check sau Reputation Links înainte de a o deschide.