给大家介绍一个假的苹果网站，能肉眼看出来算我输！

这个漏洞大部分浏览器都已经修复了



原文地址：http://www.leiphone.com/news/201704/NyHGnviIh1lMKUCX.html

Chrome、火狐以及 Opera三款浏览器中招

无法辨识。

完美伪装？？？逗我呢？？？

这分明就是未验证所有人的HTTPS（另见中间人攻击）

https://bugzilla.mozilla.org/show_bug.cgi?id=1332714

network.IDN_show_punycode 已经改 true
没压力

挺有趣的，装一个字库小点的字体或许可以分辨了

我不知道改了哪里，我打开的时候地址栏是这样的（然而我的network.IDN_show_punycode是false）



鼠标移上去才显示 https://www.аррӏе.com/
不过作为字体迷一眼还是发现l是有问题的，至于a是没发现

图片：1.png

chrome和fx的地址栏字体不一样……

显然只要浏览器还支持国际化域名，这种钓鱼方法在客户端就只能通过识别证书验证者来区分，对于广大认知仅限于“地址栏左边有个绿锁才是真货”的普通用户来说，只能靠防钓鱼数据库的及时更新了……

雷锋网编辑亲测，目前大部分国产浏览器是不存在该问题的，这是个令人欣喜的消息。

因为功能太烂而逃过一劫，真是……

图片：moren_hashiqi_org.png

话说这个国际化域名现在什么情况，说是标准化了，但是好像几年前起就没声音了，实际上也基本上没遇见过，除了被运营商劫持的时候偶尔会跳转到xn--开头的网址……

Chrome好像没这个问题啊？


直接打开就显示https://www.xn--80ak6aa92e.com/

烈之斩：Chrome好像没这个问题啊？


直接打开就显示https://www.xn--80ak6aa92e.com/回到原帖

已经修复了

一个想法

图片：2.png

白左：一个想法回到原帖

小黄标(i)与安全锁+小三角的图标概念有点类似，用户可能误解或仍忽视。

yfdyh000：小黄标(i)与安全锁+小三角的图标概念有点类似，用户可能误解或仍忽视。回到原帖

我觉得吧……能忽视黄色警告色还带感叹号提示的用户，多半也不会去看地址栏里面的内容（笑
以前地址栏整个变色虽然是蛮浮夸，但是至少挺醒目；乃至后来证书验证者的一大坨全名显示绿色方块，也很浮夸，不知道为什么现在又变得这么低调了( ´･ω･`)

白左：我觉得吧……能忽视黄色警告色还带感叹号提示的用户，多半也不会去看地址栏里面的内容（笑
以前地址栏整个变色虽然是蛮浮夸，但是至少挺醒目；乃至后来证书验证者的一大坨全名显示绿色方块，也很浮夸，不知道为什么现在又变得这么低调了( ´･ω･`)回到原帖

是想说：1. 警示意义不足、2. 有经验的旧用户会误认为只是混合内容等警告，结果同上。

因为https更普及而不必强调了吧。

yfdyh000：是想说：1. 警示意义不足、2. 有经验的旧用户会误认为只是混合内容等警告，结果同上。

因为https更普及而不必强调了吧。回到原帖

我明白你的意思了, 不过图里只是示意, 这样p起来方便... mozilla完全可以用别的提示图标
总感觉警示符号越来越多了, 非https的警告锁, 混合内容的标识, 证书过期的警告, 未验证证书的提示, http密码输入框的窃取警示...普通用户会不会被搞糊涂不清楚, 但是我妈肯定是会被搞糊涂的