[B! セキュリティ] こんなの絶対騙される……古いURL形式を使った巧妙な詐欺リンクの偽装方法が話題に／なるほど、頭いいなぁ【やじうまの杜】

uzuky そこの ⁄ はURLエンコードされるので、デコードしないようにするかBASIC認証を無効にするかが現実的かなあ ⁄ クリックしたら攻撃のリスク跳ね上がるし、メールアドレスごとに一意のURLが用意されてたらどうすんの

ytRino HTMLだってできるのにメールソフトの仕様がおかしいなんてことはないしメールソフトに限らずエンコードしてないURLのリンク化なんてWebにあふれてるわけで・・・

MyFavoriteOne スラッシュに似たスラッシュじゃないものが入っているテキストがリンクになっていたらそれはメールソフトの仕様がおかしいでしょ。適切にエンコードされてない文字列のユーザ名なんか含むURLをリンクにしちゃだめ

gogatsu26 このパターンはブラウザで警告出すように対応するしか

fumikef 先頭に「ドメイン名＋/」があれば間違いないのは確かにその通りだが、そうかースラッシュに似た別の文字なんてあるんだ。

ardarim セキュアじゃないから最近は使われないだけでことさら古い形式というわけでもないような。ただ実際使う場面はかなり限定されるのでブラウザ側で毎回セキュリティ警告を挟む動作でもよい気がする。

AmaiSaeta 「アドレスでの判定」がそもそも無理ゲーなので（「貴方」は詳しいかもしれないが一般人はそうではない） | 2005年の時点で既に発見・周知済みの攻撃方法（RFC 3986 Section 7.6)。

deep_one そんなのあったな…／中継を明示する記法とかなかったっけ？あれはメールアドレスとかだったか？／アドレス欄を見ろというのは、「情報をサイトに入力する前に」という意味だろう。被害が大きくなるから。

call_me_nots いや、クリックさすなよ…→“対策としては、クリックしたあとに開かれるWebブラウザーでもちゃんとURLを確認することでしょうか。アドレスバーには真のドメインがわかりやすく表示されているはずです”

arajin “本来ユーザー名に「スラッシュ」（/）を含めることはできませんが、そこは「スラッシュっぽく見える別の文字」で代用されているようです。これでパッと見、パスワード部分が正規のドメインのように見えてしまう”

adsty URLにBasic認証のIDとパスワードを埋め込む構文を悪用している。

こんなの絶対騙される……古いURL形式を使った巧妙な詐欺リンクの偽装方法が話題に／なるほど、頭いいなぁ【やじうまの杜】