Разбирайте ссылку на протокол, хост, порт, путь, запрос и фрагмент так, как это делает браузер.
Распаковщик ссылок
Работает локальноНовый
Сам инструмент доступен на английском языке; на этой странице приведено его описание на вашем языке.
Используйте Распаковщик ссылок
Для чего это нужно
Вставьте одну или несколько переписанных ссылок или целое сообщение, чтобы увидеть каждый слой обёртки, конечный адрес в обезвреженном виде и тревожные признаки, например имя пользователя перед @, IP-адрес в качестве хоста или punycode.
Приложение работает полностью в браузере: никакие введенные вами данные не передаются на сервер.
Как использовать Распаковщик ссылок
- Вставьте ссылку или сообщение. Вставьте по одной обёрнутой ссылке на строку или целое письмо, сообщение из чата или HTML-код. Обезвреженные ссылки вроде hxxps://example[.]com принимаются; до 500 ссылок и 1 МБ текста.
- Распакуйте. Нажмите Unwrap (распаковать) или Ctrl+Enter. Вставка в поле тоже запускает обработку. Ничего никуда не отправляется.
- Прочитайте слои. Каждый результат перечисляет обёртки по порядку с параметром, в котором был следующий адрес, например Google redirect, q.
- Проверьте адрес назначения. Блок Destination показывает конечный адрес в обезвреженном виде, чтобы по нему нельзя было перейти. Copy raw копирует рабочий адрес для заметок или жалобы.
- Прочитайте предупреждения. Сначала идут красные предупреждения, затем жёлтые. Если их нет, помните, что инструмент читает только адрес, а не репутацию сайта.
- Передайте дальше. Используйте Send to…, чтобы открыть адрес назначения в URL Parser или Homoglyph Checker, или Copy all destinations, если в сообщении было несколько ссылок.
Пример
Safe Links поверх URL Defense
https://nam12.safelinks.protection.outlook.com/?url=https%3A%2F%2Furldefense.com%2Fv3%2F__https%3A%2F%2Flogin.example.com%40198.51.100.7%2Fverify*id%3D1__%3BPw!!AbCdEf!GhIjKl%24&data=05%7C02%7C%7Cc0ffee%7C0&reserved=01 link: 1 unwrapped, 1 with warnings.
Result 2 layers
Microsoft Defender Safe Links url
→ hxxps://urldefense[.]com/v3/__https://login[.]example[.]com[@]198[.]51[.]100[.]7/verify*id=1__;Pw!!AbCdEf!GhIjKl$
Proofpoint URL Defense path __…__ with 1 replaced character(s)
→ hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1
Destination
hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1
Copy raw
The URL has a user-info part before "@" ("login[.]example[.]com"). Browsers ignore it and go to 198[.]51[.]100[.]7.
The host is a bare IP address (198[.]51[.]100[.]7) instead of a domain name.Два слоя: Microsoft Defender Safe Links, затем Proofpoint URL Defense v3, который восстанавливает ?, скрытый за *. Адрес назначения hxxps://login[.]example[.]com[@]198[.]51[.]100[.]7/verify?id=1 помечен: текст перед @ — лишь имя пользователя, а настоящий хост — IP 198.51.100.7.
Что проверяется
| Сигнал | Что это означает |
|---|---|
| Слои обёрток | Каждая известная обёртка или параметр перенаправления декодируется по одному слою, максимум 10 слоёв. Вложенные слои могут быть нормой в пересланных письмах, но они также скрывают адрес от беглого взгляда. |
| Имя пользователя перед @ (красный) | В https://login.example.com@198.51.100.7/ всё до @ — лишь имя пользователя. Браузер переходит на хост после @, так что знакомое имя — просто декорация. |
| IP-адрес в качестве хоста | Голый хост IPv4 или IPv6 получает жёлтое предупреждение. Хост, записанный одним десятичным или шестнадцатеричным числом или в другой необычной форме, отмечается красным и показывается вместе с адресом, который на самом деле откроет браузер. |
| Интернационализированный хост | Хост с не-ASCII буквами или меткой xn-- показывается в Unicode и punycode. Прежде чем доверять ему, проверьте его на похожие буквы. |
| Знакомое имя в начале хоста | Если хост начинается с чего-то вроде example.com., но зарегистрированный домен в конце другой, инструмент называет настоящий зарегистрированный домен. |
| Текст ссылки не совпадает | В ссылках HTML и Markdown видимый текст сравнивается с адресом назначения, и другой домен отмечается красным. В обычном тексте домен, упомянутый прямо перед ссылкой, даёт жёлтое предупреждение. |
| Script URL (красный) | Адрес назначения javascript:, data: или vbscript: запускает код или отображает содержимое вместо открытия веб-страницы. |
| Короткая ссылка или только домен | Сокращатели вроде bit.ly нельзя декодировать офлайн, поэтому вместо этого вы получите команду curl. Ссылки Mimecast и некоторые ссылки Sophos раскрывают только домен назначения. |
| Циклы и неполные данные | Сообщается о ссылке, которая указывает сама на себя, об обработке, остановленной после 10 слоёв, или о данных URL Defense короче своих маркеров, потому что результат может быть неполным. |
Еще примеры
Редирект Google на похожий хост
https://www.google.com/url?q=https://example.com.login-check.example.net/session&sa=D&source=editors1 слой: Google redirect, параметр q. Адрес назначения hxxps://example[.]com[.]login-check[.]example[.]net/session с жёлтым предупреждением: хост начинается с «example[.]com.», но зарегистрированный домен — example[.]net.
Сообщение, в котором упомянут другой сайт
Sign in at example.com to keep your account: https://l.facebook.com/l.php?u=https%3A%2F%2Fsignin.example.net%2Faccount&h=AT0abc1 слой: Facebook / Meta link shim, параметр u. Адрес назначения hxxps://signin[.]example[.]net/account. Жёлтое предупреждение: текст перед ссылкой упоминает example[.]com, но ссылка ведёт на signin[.]example[.]net.
Десятичный IP внутри редиректа YouTube
https://www.youtube.com/redirect?q=http%3A%2F%2F3221226010%2Fprize&v=abc1 слой: YouTube redirect, параметр q. Адрес назначения hxxp://3221226010/prize. Красное предупреждение: Obfuscated IP address — хост записан как 3221226010, что браузеры читают как 192[.]0[.]2[.]26.
Часто задаваемые вопросы
Какие обёртки он декодирует?
Microsoft Defender Safe Links, Proofpoint URL Defense v1, v2 и v3, ссылки Google /url и Ads, шимы ссылок Facebook, Instagram и Messenger, LinkedIn, Barracuda, Cisco Secure Email, Trend Micro, Sophos, Bing, перенаправления из Steam, Slack, YouTube и VK, а также параметры перенаправления, такие как url=, u=, q=, target=, to=, dest=, redirect=, next= или link=, содержащие URL-адрес. Вложенные оболочки декодируются по одному уровню за раз.
Почему ссылки t.co, lnkd.in и Mimecast не декодируются полностью?
Сокращатели вроде t.co и lnkd.in хранят адрес назначения на своих серверах, поэтому инструмент показывает команду curl -sI, которая выводит заголовок Location, не открывая страницу. Ссылки Mimecast содержат только домен назначения; полный адрес остаётся у Mimecast.
Открывается ли ссылка или отправляется ли она куда-нибудь?
Нет. Декодирование — это обработка текста на этой странице: ни один запрос не уходит ни к сервису-обёртке, ни к сокращателю, ни к адресу назначения. Команда curl только показывается, чтобы вы запустили её сами, лучше всего на изолированной машине.
Можно ли вставить целое письмо или его HTML-код?
Да. Инструмент находит в тексте все ссылки http, https и www, включая обезвреженные. В HTML-ссылках и ссылках Markdown он также читает видимый текст ссылки и сравнивает его с настоящим адресом назначения. Он обрабатывает до 500 ссылок и первый 1 МБ текста.
Почему длинное число показывается как IP-адрес?
Браузеры принимают IPv4-адрес, записанный одним десятичным или шестнадцатеричным числом, поэтому http://3221226010/ открывает 192.0.2.26. Фишинговые ссылки используют это, чтобы скрыть адрес от людей и простых фильтров, поэтому инструмент отмечает такое красным.
Предупреждений не было. Значит, адрес назначения безопасен?
Не обязательно. Инструмент читает только структуру адреса. Он не знает, кто управляет сайтом и есть ли сайт в блок-листе. Перед открытием проверьте адрес назначения в DestroyList Check или Reputation Links.