巧避陷阱 识破地址欺骗术
2020-11-13河南郭建伟
■ 河南 郭建伟
编者按：如今网络攻击已是无孔不入，在日常计算机操作中也可能会无意遇到安全威胁。本文通过笔者遇到的一些隐秘威胁，探讨了网络攻击的某些常用欺骗术，同时提醒读者巧避陷阱。
当双击一个看似正常的文本文件，却误入恶意网站，进而招来病毒木马，这听起来有些让人无法相信。其实，这是网络攻击者利用了URL 地址欺骗技术，很容易达到上述目的。
从外表上看，这类不法文件虽然拥有TXT 文档图标，但是，在文件夹选项窗口中的“查看”面板中取消“隐藏已知文件类型的扩展名”项，让文件扩展名彻底显示出来。但是该类文件却没有显示扩展名。
我们知道，不同的文件都拥有文件头信息，只要使用记事本将对应的文件打开，通过查阅文件头信息，就很容易了解其类型。例如，将一个EXE 文件拖放到记事本中，就会发现其是以“MZ”开头的，这就是EXE 文件的特征。将一个JPG 图像文件使用记事本打开，会发现其文件头包含“JFIF”信息等。
但是，在该类假冒的文本文件右键菜单上点击“打开方式”项，却无法使用记事本打开。而在WinHEX 中打开该假冒的文本，在右侧的ASCII 区域则可以清晰地看到该文件的真实内容，里面的网址明显是挂马网址。而且在WinHEX 的文件名称标签上显示其真实名称，例如“xxx.url” “xxx”等为具体的文件名。
看来，这根本不是什么文本文件，而是包含特殊内容的URL 地址文件。
例如，笔者就遇到过这种假冒的文本文件，在WinHEX中将其打开后，再点击菜单“文件”→“另存为”项，将文件名称修改为“xxx.txt”。这样，就可以直接使用记事本了解其庐山真面目了。对其进行分析后，笔者发现它的前两行定义的目标页面，当双击该文件后，就直接进入了该页面。毫无疑问，其中包含了木马等恶意程序。第三行和第四行定义了一个快捷方式的网址，第五句中的“Modified”字样可能是修改属性的意思，用来修改上述内容的属性信息。第六行和第七行是使用系统路径中的“shell32.dll”中包含的图标信息，来伪装该文件图标，其中第70号图标对应的就是TXT 图标。
该页面其实是一个挂马网站，当进入该网站后，指定网址中的名为“xxx.exe”的木马病毒就会侵入系统。
由此可以得出对付这种危险文件的方法，一旦发现看起来很像TXT、Word 等类型的文件，而且使用正常方法无法显示其扩展名，同时其名称颇具迷惑性的文件，最好使用记事本或者WinHEX等工具将其手工打开，来充分了解其内容。
其实，要想查看这类特殊的文件类型，还有一种简单易行的方法，只需在CMD 窗口中切换到目标路径下，执行“dir/a”命令，就可以让其扩展名显露无遗。如果发现其中包含可疑网址，最好将它直接删除，以避免危害系统安全。
黑客为了实现入侵目的，往往会采用各种手段来麻痹用户。例如，将这类文件起一个具有迷惑性的名字，通过邮箱或论坛等途径传送，或者将它和正常软件打包在一起，让用户在毫无防范之际中招。
其实，除了这种URL 欺骗之外，还有一种URL 欺骗方式也值得警惕，那就是通过伪造超级链接，来诱惑用户进入非法网站。例如，当笔者某次浏览网页时，指向一个名称很正规的链接，在浏览器状态栏上也显示这是一个很常用的网站，但是当点击该链接后，却进入了一个内容杂乱的网站，杀毒软件也弹出警告，提示有危险的程序试图下载运行。
笔者浏览上述页面的源代码，发现在页面上显示的“www.xxx.com”链接显得很正规，并没有什么可疑之处。当指向该链接后，在状态栏上也会显示“www.xxx.com”字样。其实这都是假象，该链接真实的地址其实是一个非法网站，当您误击该链接后，自然会掉入陷阱之中。
关于URL 地址欺骗类型有多种，要想了解这些攻击的伎俩，首先需要知晓URL的结构组成。
大家一般都认为URL就是WWW 网址或者FTP 地址，其实不然。URL 的全称是Uniform Resource Loca tiors，即统一资源定位器。它的标准在RFC1738 中被定义。其中最普遍的形式定义为“
了解了URL 的组成结构之后，我们来看一个最古老的URL 欺骗方法。例如，对于网址“http://www.sohu.com@www.xxx.net”来说，其中的“www.xxx.net”代表恶意网址。从表面上看，用户很容易被其前部的“http://www.sohu.com”迷惑，以为这是一个正规的大网站，而放松对该地址的防范。其实，在该地址中，“@”符号之前的部分是虚假的用户名，服务器会忽略它，最终打开的确实其后的“www.xxx.net”。
当然，这类比较初级的URL 欺骗方式对于高版本的IE 是无效的，但是对于很多第三方的浏览器，例如遨游、世界之窗、GreenBrowser 等是有效的，所以当使用这些浏览器时，还是应该防范这类URL 地址欺骗。
因为常规的URL 地址很容易让恶意网站现行，为了更好地蒙骗用户，攻击者通常会采取更改URL 地址格式或者是加密的方式，来伪装恶意URL 地址。在一般情况下，IP 都是采用诸如“aaa.bbb.ccc.ddd”的划分格式，但其实也可以八进制、十进制或者十六进制的方式进行表述。从用法上来说，不管采用何种进制，都不影响对目标IP 的访问。如果攻击者在某个IP 上布设了木马网站，然后采用以上特殊的进制格式来伪装访问网站，就很容易让用户上当受骗。除了更改进制格式外，黑客往往会对URL 进行加密处理，来进一步对其进行伪装。
那么，面对变化多端的URL 欺骗，该如何加以防范呢？虽然URL 欺骗很狡猾，不过也有其弱点。我们只需在访问之前进行一番检测，就可以让它彻底露出原型。
例如，利用Netcraft 公司的网站信息查询引擎，使用浏览器就可以轻松实现查询。打开网址“http://toolbar.netcraft.com/site_report”，在其中的“Lookup another URL”栏中可以输入网址，回车后就可以对其进行深入检测，并显示一份详细的报表，包括该网站建立日期、网站的IP、所属国家、域名注册商、主机所在地址、网站全球排名（Site rank）等具体数据，甚至包括网络主机上次启动的时间。
在“Hosting History”中列出网站变迁历史的清单，包括IP、服务器类型、操作系统种类以及上次更新时间等数据。
利用这些数据，不仅可以洞察网站的具体信息，同时可以有效地对抗钓鱼网站的欺骗。当然，也可以在虚拟运行环境中访问可疑网站，来检测其是否存不法行为。
例如，使用一些杀毒软件提供的隔离沙箱功能，就可以在保证系统安全的前提下，访问存在疑点的URL 地址。因为它被“软禁”在沙箱中，自然不会危害真实的系统。例如，在360 安全卫士的隔离沙箱主界面中点击“运行指定程序”按钮，启动世界之窗浏览器，在该浏览器顶部会显示“360 隔离沙箱保护中”字样，说明其活动已经和真实系统隔开，在其中就可以放心大胆地打开存在问题的URL 地址，来查看其中是否存在问题了。
