揭秘新兴网络威胁：.zip顶级域名的双刃剑效应

相关阅读

视频讲解

🔥🔥欢迎来到今天的黑客新闻！🌐📺 一个新的顶级域名引发的热议，这会是网络犯罪分子的福音吗？ 😈🎁 谷歌为他们准备了一个全新的礼物——一个名为.zip的全新顶级域名。

😱😱嗯，没错，你现在可以注册一个.zip域名了，听起来有趣，不是吗？但这个娱乐也有其隐忧，就像握在手中的双刃剑。💻🔪

不可否认，网络犯罪分子对.zip域名的兴趣激增，从而产生了一种新型网络钓鱼技巧。🎣🕸️ 一个假冒的链接，表面上看起来是一个合法的Github仓库，但实际上会导向一个恶意的.zip域名。😮💥

这个新兴的顶级域名会被武器化吗？这个改变会如何影响我们的互联网生活？🤔🌐 还有一个Github仓库正在跟踪新创建的.zip域名，包括备份、档案、作业等等。😵🔗

有些白帽子已经行动起来，注册这些域名来阻止网络犯罪分子的行动，但恶意的.zip域名的利用仍在继续。👨‍💻🛡️ 我们该如何看待这个问题呢？

我们想听听你的看法，快在下面的评论区发表你的意见吧！👇💬 喜欢我们的视频就不要忘了点击订阅按钮，打开通知铃铛，第一时间获取我们的最新动态！🔔🎉 让我们一起探索互联网的深渊！🕳️🚀

图文讲解

大家好，今天的黑客新闻中，谷歌为网络犯罪分子准备了一份礼物，

一个全新的顶级域名，名为.zip。

就像.com、.net或.pizza一样，是的，后缀是存在的，你今天可以注册一个.zip域名，每年只需花几美元。

.zip的一个明显的用例是链接缩短器，而且有人已经做到了。

当然，这也有一点讽刺意味，因为文件类型的扩展名完全相同。

你有扩展的zip文件，现在你也有同样扩展的zip链接。

然而，这种小小的娱乐是要付出代价的那是因为网络犯罪分子会喜欢.zip域名。例如，这很疯狂，假设你从一个家庭成员那里收到一封完全无辜的电子邮件，其中包含一些照片，但重要的是，电子邮件中的文件名。

因为.zip域名现在是一种存在，该文件名成为一个链接。

一个坏的行为者可以注册一堆常见的文件名，这样，如果你错误地点击链接，以为你只是下载附件，你会被送到网站familyphotos.zip，

这自动下载一个同名的文件，里面没有家庭照片，只有恶意软件。

通过谷歌引入这个新的顶级域名，大量人们简单说明文件名的情况有可能在一夜之间被武器化。而且你不会惊讶地发现，坏的行为者已经跳上了这一行列。有一个github仓库一直在跟踪新创建的zip域名，

这包括backup.zip、archive.zip、homework.zip和其他成千上万的域名。

然而，其中一些将由白帽子注册，以使它们退出市场，可以说，拒绝网络犯罪分子访问它们。

有些已经变成了抨击谷歌引入.zip顶级域名的登陆页面，

但也有一些恶意的.zip域名已经在使用，比如这个microsoftoffice.zip，它承载了一个可爱的钓鱼页面。

然而，还有其他对.zip域名的恶意使用，比仅仅等待被动的流量滚滚而来更复杂一些。我在一篇媒体文章中发现了一个令人难以置信的偷偷摸摸的方法，我把它链接到下面。

这个有一点解释，但请坚持听我说，因为你绝对需要了解这个，并且我怀疑你以前没见过。看看这个网址，它链接到github，并以压缩文件的形式下载一个kubernetes仓库，对吗？

嗯，不是。点击这个链接，

你会被带到v1271.zip，

这个域名可以被不良分子配置成任何操作，比如为你提供一个感染的预期zip文件的副本。

但这里发生了什么？很明显，URL中的域名是github.com。让我们来剖析一下这个。你会看到URL中的@就在zip域名之前。

这是一个很大的警告信号，表明这个链接利用了URL中一个鲜为人知的特性--用户信息。

这个参数可以用来为一个web应用程序指定登录凭证，这样当你发送@之后的内容时，你会自动认证。然而，这种在URLs中包含登录凭证的功能更多的是一种传统的功能，现在已经不怎么使用了，因为人们很快意识到在URL中包含纯文本凭证对安全来说是非常糟糕的。然而，这个功能在现代浏览器中仍然存在。所以在我们的恶意URL中，@之前的所有内容都被视为用户信息参数

而你实际上被发送到v1271.zip。

然而，有些事情还是不对头。我的意思是，这篇文章的链接包括一个@来指定这篇文章的作者，那么为什么这不会使URL中的medium.com部分无效呢？

这是因为当浏览器看到URL中的斜线字符时，

它会把它后面的任何东西当作路径，所以你不能只是随意地在任何URL后面添加@和任意的域名.zip，然后期望被发送到那个域名。

然而，我们的恶意链接是通过使用某个看起来与斜线非常相似的unicode字符来实现的，但并不是斜杠。

将我们恶意URL中的斜杠与一个无害URL中的斜杠进行比较。它们的角度略微不同，但不足以引起警觉。

所有这些都使得高度逼真的钓鱼链接成为可能。唯一让人觉得不对劲的是，当你把鼠标悬停在链接上时，真正的域名出现在左下方，而且有些字体确实让假斜线看起来有点奇怪。

但除此之外，甚至没有机会意识到你正被发送到一个恶意的域名，因为按照正常的下载链接行为，标签只会在下载开始之前打开几分之一秒。

哦，如果你抱着希望认为浏览器会修复这个问题，那就别抱太大希望了。7年前的一个Chromium错误报告提到了Unicode斜杠的外观类似问题，

结果决定不采取任何措施。

因此，这种钓鱼方法本身并不新鲜，但由于不良分子现在能够提供受害者所期望的确切文件类型，这种方法变得更加有用。谷歌发表了一份声明，为他们的新zip域名辩护，其中他们说域名和文件名之间的混淆风险并不是一个新问题。

他们举了一个.com顶级域名的例子，

实际上在windows的早期，它曾经是一个文件扩展名，它的功能与.exe类似。

然而，这种比较有点荒唐，因为你必须回到90年代前半期，才能发现.com文件经常被使用。

暗示仅仅因为那时没有问题，现在就不会有问题，这是荒谬的。当时与互联网连接的人数非常少，几乎在图表上看不到，而网络犯罪也不是今天这个数万亿美元的产业。

谷歌声明的其余部分只是一些废话。

.zip并不是唯一一个新创建的顶级域名，还有.mov也被证明是有争议的，也是由于一个文件类型共享相同的扩展名。

现在我想听听你们对这一切的看法，.zip的存在是一个愚蠢的想法吗？

我是说已经有1500个顶级域名了，我们是否真的需要更多，特别是令人困惑的域名？还是说，这些戏剧性的东西只是炒作，只要开发者实施一些基本的改变，比如不自动超链接.zip域名，我们就都会好起来？让我知道你的想法在这些评论中。一如既往地感谢您的观看，我们将在下一个视频中再见，祝您玩得愉快。