黑客发的钓鱼链接，为什么那么多人上当？测测你能识破几个假域名，顺便搞懂 Unicode 同形字攻击的原理
粘贴任意域名或 URL，实时分析可疑特征
用长得一模一样的 Unicode 字符替换 ASCII 字母。西里尔字母 а（U+0430）和拉丁字母 a（U+0061）肉眼完全无法区分。
用数字或相似字母替换：l→1、O→0、rn→m。在小字号或移动端尤其难分辨。
交换相邻字母的位置，利用人脑自动纠错的特性。你的大脑会「看到」正确的拼写。
多加一个字母或少一个字母，快速扫一眼很难发现。
把真域名放在子域名位置，实际控制的是后面的主域名。浏览器地址栏太短时，真域名可能被截断。
使用不同的顶级域名，如 .net/.org/.cc 替代 .com，或使用国家域名 .co 冒充 .com。
这些字符对肉眼看起来完全一样，但 Unicode 编码完全不同
| 拉丁字母 | Unicode | 同形字 | Unicode | 来源 |
|---|---|---|---|---|
| a | U+0061 | а | U+0430 | 西里尔字母 |
| e | U+0065 | е | U+0435 | 西里尔字母 |
| o | U+006F | о | U+043E | 西里尔字母 |
| p | U+0070 | р | U+0440 | 西里尔字母 |
| c | U+0063 | с | U+0441 | 西里尔字母 |
| x | U+0078 | х | U+0445 | 西里尔字母 |
| y | U+0079 | у | U+0443 | 西里尔字母 |
| i | U+0069 | і | U+0456 | 乌克兰字母 |
| s | U+0073 | ѕ | U+0455 | 马其顿字母 |
| a | U+0061 | ɑ | U+0251 | IPA 音标 |
1. 手动输入网址，不要点击来路不明的链接
2. 检查浏览器地址栏是否显示 Punycode（xn-- 开头），这说明域名包含非 ASCII 字符
3. 使用密码管理器——它只会在真正的域名上自动填充密码
4. 留意浏览器的安全警告，不要随意忽略证书错误
5. 对「紧急」「限时」「账号异常」等措辞保持警惕，这是钓鱼邮件的经典话术
Google 的研究显示，即使是安全专家，在时间压力下也有约 4% 的概率点击钓鱼链接。普通用户的中招率在 20%-30% 之间。钓鱼攻击之所以长盛不衰，是因为它攻击的是人的认知弱点，而非技术漏洞。