简介
本文档介绍在高级网络钓鱼攻击中使用同形字符的方法，以及在思科邮件安全设备(ESA)上使用邮件和内容过滤器时如何了解这些同形字符。
同形高级网络钓鱼攻击
在当今的高级网络钓鱼攻击中，网络钓鱼邮件可能包含同义字符。 同形字是具有彼此基本相同或相似形状的文本字符。 可能有嵌入在钓鱼邮件中的URL不会被ESA上配置的邮件或内容过滤器阻止。
以下是一个示例情景：客户希望阻止包含www.ɑpypal.com URL的电子邮件。 为此，需要编写入站内容过滤器，用于查找包含www.paypal.com的URL。 此内容过滤器的操作将被配置为丢弃并通知。
客户收到包含如下内容的电子邮件示例：www.ɑpypal.com
配置的内容过滤器包含：www.paypal.com
如果您查看通过DNS的实际URL，您会发现它们的解析方式不同：
$ dig www.pɑypal.com
; <<>> DiG 9.8.3-P1 <<>> www.pɑypal.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 37851
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0
;; QUESTION SECTION:
;www.p\201\145ypal.com. IN A
;; AUTHORITY SECTION:
com. 900 IN SOA a.gtld-servers.net. nstld.verisign-grs.com. 1440725118 1800 900 604800 86400
;; Query time: 35 msec
;; SERVER: 64.102.6.247#53(64.102.6.247)
;; WHEN: Thu Aug 27 21:26:00 2015
;; MSG SIZE rcvd: 106
$ dig www.paypal.com
; <<>> DiG 9.8.3-P1 <<>> www.paypal.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 51860
;; flags: qr rd ra; QUERY: 1, ANSWER: 6, AUTHORITY: 8, ADDITIONAL: 8
;; QUESTION SECTION:
;www.paypal.com. IN A
;; ANSWER SECTION:
www.paypal.com. 279 IN CNAME www.paypal.com.akadns.net.
www.paypal.com.akadns.net. 9 IN CNAME ppdirect.paypal.com.akadns.net.
ppdirect.paypal.com.akadns.net. 279 IN CNAME wlb.paypal.com.akadns.net.
wlb.paypal.com.akadns.net. 9 IN CNAME www.paypal.com.edgekey.net.
www.paypal.com.edgekey.net. 330 IN CNAME e6166.a.akamaiedge.net.
e6166.a.akamaiedge.net. 20 IN A 184.50.215.128
;; AUTHORITY SECTION:
a.akamaiedge.net. 878 IN NS n5a.akamaiedge.net.
a.akamaiedge.net. 878 IN NS n7a.akamaiedge.net.
a.akamaiedge.net. 878 IN NS n2a.akamaiedge.net.
a.akamaiedge.net. 878 IN NS n0a.akamaiedge.net.
a.akamaiedge.net. 878 IN NS n1a.akamaiedge.net.
a.akamaiedge.net. 878 IN NS n4a.akamaiedge.net.
a.akamaiedge.net. 878 IN NS n6a.akamaiedge.net.
a.akamaiedge.net. 878 IN NS n3a.akamaiedge.net.
;; ADDITIONAL SECTION:
n0a.akamaiedge.net. 383 IN A 184.27.45.145
n1a.akamaiedge.net. 3142 IN A 184.51.101.8
n2a.akamaiedge.net. 6697 IN A 88.221.81.194
n3a.akamaiedge.net. 31 IN A 88.221.81.193
n4a.akamaiedge.net. 168 IN A 72.37.164.223
n5a.akamaiedge.net. 968 IN A 184.51.101.70
n6a.akamaiedge.net. 1851 IN A 23.220.148.171
n7a.akamaiedge.net. 3323 IN A 184.51.101.73
;; Query time: 124 msec
;; SERVER: 64.102.6.247#53(64.102.6.247)
;; WHEN: Thu Aug 27 21:33:50 2015
;; MSG SIZE rcvd: 470
第一个URL使用unicode格式的字母“a”的同形字。
如果你仔细看，你会发现贝宝中的第一个“a”实际上与第二个“a”不同。
在使用邮件和内容过滤器阻止URL时，请注意这一点。 ESA无法区分同形字符和标准字母字符。 正确检测和防止使用同形网络钓鱼攻击的一种方法是配置并启用OF和URL过滤。
Irongeek提供一种用于测试同义字形和创建测试恶意URL的方法：同义字形攻击生成器
同形网络钓鱼攻击的详细介绍，也来自Irongeek：字符外：使用Punycode和同形网络攻击对网络钓鱼的URL进行模糊处理
反馈