本文目录一览：
- 1、什么是“ *** 钓鱼”，如何防范？
- 2、什么叫 *** 钓鱼
- 3、谁能准备的告诉我，黑客说的（钓鱼）是什么意思？
- 4、什么是“钓鱼攻击”
- 5、什么叫 *** 钓鱼??
- 6、 *** 安全有个概念：钓鱼和反钓鱼！应该怎么理解
什么是“ *** 钓鱼”，如何防范？
什么是 *** 钓鱼？
*** 钓鱼（Phishing）一词，是“Fishing”和“Phone”的综合体，由于黑客始祖起初是以 *** 作案，所以用“Ph”来取代“F”，创造了”Phishing”。
“ *** 钓鱼”攻击利用欺骗性的电子邮件和伪造的Web站点来进行诈骗活动，受骗者往往会泄露自己的财务数据，如信用卡号、账户用户名、口令和社保编号等内容。诈骗者通常会将自己伪装成知名银行、在线零售商和信用卡公司等可信的品牌，在所有接触诈骗信息的用户中，有高达5%的人都会对这些骗局做出响应。
在美国和英国已经开始出现专门反 *** 钓鱼的组织，越来越多在线企业、技术公司、安全机构加入到反“ *** 钓鱼”组织的行列，比如微软、戴尔都宣布设立专案分析师或推出用户教育计划，微软还捐出4.6万美元的软件，协助防治“ *** 钓鱼”。
用户自卫指南
一、普通消费者：
安全专家提示：更好的自我保护方式是不需要多少技术的。
1. 对要求重新输入账号信息，否则将停掉信用卡账号之类的邮件不予理睬。
2. 更重要的是，不要回复或者点击邮件的链接——如果你想核实电子邮件的信息，使用 *** ，而非鼠标；若想访问某个公司的网站，使用浏览器直接访问，而非点击邮件中的链接。
3. 留意网址——多数合法网站的网址相对较短，通常以.com或者.gov结尾，仿冒网站的地址通常较长，只是在其中包括合法的企业名字（甚至根本不包含）。
4. 避免开启来路不明的电子邮件及文件，安装杀毒软件并及时升级病毒知识库和操作系统补丁，将敏感信息输入隐私保护，打开个人防火墙。
5. 使用 *** 银行时，选择使用 *** 凭证及约定账户方式进行转账交易，不要在网吧、公用计算机上和不明的地下网站做在线交易或转账。
6. 大部分的“ *** 钓鱼”信件是使用英文，除非你在国外申请该服务，不然应该都收到中文信件。
7. 将可疑软件转发给 *** 安全机构。
最后提醒一句，不幸中招者更好尽快更换密码和取消信用卡。
二、商业机构
1. 为避免被“ *** 钓鱼”冒名，最重要的是加大 *** 网站的难度。具体办法包括：“不使用弹出式广告”、“不隐藏地址栏”、“不使用框架”等。这种防范是必不可少的，因为一旦网站名称被“ *** 钓鱼”者利用的话，企业也会被卷进去，所以应该在泛滥前做好准备。
2. 加强用户验证手段，提高用户安全意识。
3. 及时处理用户反馈，积极打击假冒网站和其他相关的违法行为。客户中心对类似“为什么每次登陆都得输入两次账号和密码？”之类的投诉，就要想到是否有“ *** 钓鱼”的可能，因为“ *** 钓鱼”者通常“劫持”之一次数据，而用户再一次登陆才进入了真正的页面。
4. 当然，安装杀毒软件和防火墙、及时升级、打补丁、加强员工安全意识、与安全厂商保持密切联系等都是必不可少的。
最后也要提醒一句，一旦出现被仿冒的情景，首先企业应该把诈骗网页取下来。有些时候，这并不是一件简单、快捷的工作。
什么叫 *** 钓鱼
*** 钓鱼是通过大量发送声称来自于银行或其他知名机构的欺骗性垃圾邮件，意图引诱收信人给出敏感信息（如用户名、口令、帐号 ID 、 ATM PIN 码或信用卡详细信息）的一种攻击方式。最典型的 *** 钓鱼攻击将收信人引诱到一个通过精心设计与目标组织的网站非常相似的钓鱼网站上，并获取收信人在此网站上输入的个人敏感信息，通常这个攻击过程不会让受害者警觉。这些个人信息对黑客们具有非常大的吸引力，因为这些信息使得他们可以假冒受害者进行欺诈性金融交易，从而获得经济利益。受害者经常遭受显著的经济损失或全部个人信息被窃取并用于犯罪的目的。这篇“了解你的敌人”文章旨在基于 德国蜜网项目组 和 英国蜜网项目组 所搜集到的攻击数据给出 *** 钓鱼攻击的一些实际案例分析。这篇文章关注于由蜜网项目组在实际环境中发现的真实存在的 *** 钓鱼攻击案例，但不会覆盖所有可能存在的 *** 钓鱼攻击 *** 和技术。攻击者也在不断地进行技术创新和发展，目前也应该有（本文未提及的）新的 *** 钓鱼技术已经在开发中，甚至使用中。
在给出一个简要的引言和背景介绍后，我们将回顾钓鱼者实际使用的技术和工具，给出使用蜜网技术捕获真实世界中的 *** 钓鱼攻击的三个实验型研究的案例。这些攻击案例将详细地进行描述，包括系统入侵、钓鱼网站架设、消息传播和数据收集等阶段。随后，将对其中普遍应用的技术及 *** 钓鱼、垃圾邮件和僵尸 *** 等技术进行融合的趋势给出分析。钓鱼者使用恶意软件进行自动化地 Email 地址收集和垃圾邮件发送的案例也将被回顾，同时我们也将展示我们在 *** 扫描技术及被攻陷主机如何被用于传播钓鱼邮件和其他垃圾邮件上的发现。最后，我们对本文给出结论，包括我们在最近 6 个月内获得的经验，以及我们建议的进一步研究的客体。
这篇文章包括了丰富的支持性信息，提供了包含特定的 *** 钓鱼攻击案例更详细数据的链接。最后声明一下，在研究过程中，我们没有收集任何机密性的个人数据。在一些案例中，我们与被涉及 *** 钓鱼攻击的组织进行了直接联系，或者将这些攻击相关的数据转交给当地的应急响应组织。
引言
欺骗别人给出口令或其他敏感信息的 *** 在黑客界已经有一个悠久的历史。传统上，这种行为一般以社交工程的方式进行。在二十世纪九十年代，随着互联网所连接的主机系统和用户量的飞速增长，攻击者开始将这个过程自动化，从而攻击数量巨大的互联网用户群体。最早系统性地对这种攻击行为进行的研究工作在 1998 年由 Gordon 和 Chess 发表。（ Sarah Gordon, David M. Chess: Where There's Smoke, There's Mirrors: The Truth about Trojan Horses on the Internet , presented at the Virus Bulletin Conference in Munich, Germany, October 1998 ） Gordon 和 Chess 研究针对 AOL （美国在线）的恶意软件，但实际上他们面对的是 *** 钓鱼的企图而不是他们所期望的特洛伊木马攻击。 *** 钓鱼 (Phishing) 这个词 (password harvesting fishing) 描述了通过欺骗手段获取敏感个人信息如口令、信用卡详细信息等的攻击方式，而欺骗手段一般是假冒成确实需要这些信息的可信方。
谁能准备的告诉我，黑客说的（钓鱼）是什么意思？
在计算机安全领域里，钓鱼式攻击（Phishing，与钓鱼的英语fishing发音一样，又名“网钓法”或“ *** 网钓”，以下简称网钓）是一种企图从电子通讯中，通过伪装成信誉卓著的法人媒体以获得如用户名、密码和信用卡明细等个人敏感信息的犯罪诈骗过程。这些通信都声称（自己）来自于风行的社交网站（YouTube、Facebook、MySpace）、拍卖网站（eBay）、 *** 银行、电子支付网站（PayPal）、或 *** 管理者（雅虎、互联网服务供应商、公司机关），以此来诱骗受害人的轻信。网钓通常是通过e-mail或者即时通讯进行。它常常导引用户到URL与界面外观与真正网站几无二致的假冒网站输入个人数据。就算使用强式加密的SSL服务器认证，要侦测网站是否仿冒实际上仍很困难。网钓是一种利用社会工程技术来愚弄用户的实例。它凭恃的是现行 *** 安全技术的低亲和度。种种对抗日渐增多网钓案例的尝试涵盖立法层面、用户培训层面、宣传层面、与技术保全措施层面。
网钓技术最早于1987年问世，而首度使用“网钓”这个术语是在1996年。该辞是英文单词钓鱼(fishing)的变种之一，大概是受到“飞客”(phreaking)一词影响，意味着放线钓鱼以“钓”取受害人财务数据和密码。
什么是“钓鱼攻击”
*** 钓鱼（Phishing）一词，是“Fishing”和“Phone”的综合体，由于黑客始祖起初是以 *** 作案，所以用“Ph”来取代“F”，创造了”Phishing”。
“钓鱼攻击”是指利用欺骗性的电子邮件和伪造的Web站点来进行诈骗活动，受骗者往往会泄露自己的财务数据，如信用卡号、账户用户名、口令和社保编号等内容。诈骗者通常会将自己伪装成知名银行、在线零售商和信用卡公司等可信的品牌，在所有接触诈骗信息的用户中，有高达5%的人都会对这些骗局做出响应。
钓鱼攻击的一般步骤：
1. 钓鱼者入侵初级服务器，窃取用户的名字和邮件地址
2. 钓鱼者发送有针对性质的邮件
3. 受害用户访问假冒网址，受害用户被钓鱼邮件引导访问假冒网址。
4. 受害用户提供秘密和用户信息被钓鱼者取得
5. 钓鱼者使用受害用户的身份进入其他 *** 服务器
钓鱼攻击使用多种技术，使一封电子邮件信息或网页的显示同其运行表现出欺骗性差异。一些较为常见攻击技术：
· 发送电子邮件，以虚假信息引诱用户中圈套
· 建立假冒网上银行、网上证券网站，骗取用户帐号密码实施盗窃
· 利用虚假的电子商务进行诈骗
· 利用木马和黑客技术等手段窃取用户信息后实施盗窃活动
· 利用用户弱口令等漏洞破解、猜测用户帐号和密码
· 复制图片和网页设计、相似的域名
· URL地址隐藏黑客工具
· 通过弹出窗口和隐藏提示
· 利用社会工程学
· 利用IP地址的形式显示欺骗用户点击
要预防钓鱼攻击的威胁，一定要牢记以下四招：
·一定不要点击邮件的链接网址或回复邮件。若要核实电邮信息，可以通过拨打银行或支付网站的 *** *** 咨询。
·要访问所属银行的网站一定不要使用超级链接方式。同时，千万不要点击诈骗邮件中的网址链接。
·养成良好的电脑使用习惯，不要开启来路不明的电子邮件(特别是英文信，特别是往来无国际友人的)及文件，安装杀毒软件并及时升级病毒特征库和操作系统补丁，将敏感信息输入隐私保护，打开个人防火墙。
·使用 *** 银行时，选择使用 *** 凭证及约定账户方式进行转账交易，不要在网吧、公用计算机上和不明的地下网站做在线交易或转账。
什么叫 *** 钓鱼??
*** 钓鱼是通过大量发送声称来自于银行或其他知名机构的欺骗性垃圾邮件，意图引诱收信人给出敏感信息（如用户名、口令、帐号 ID 、 ATM PIN 码或信用卡详细信息）的一种攻击方式。最典型的 *** 钓鱼攻击将收信人引诱到一个通过精心设计与目标组织的网站非常相似的钓鱼网站上，并获取收信人在此网站上输入的个人敏感信息，通常这个攻击过程不会让受害者警觉。这些个人信息对黑客们具有非常大的吸引力，因为这些信息使得他们可以假冒受害者进行欺诈性金融交易，从而获得经济利益。受害者经常遭受显著的经济损失或全部个人信息被窃取并用于犯罪的目的。这篇“了解你的敌人”文章旨在基于 德国蜜网项目组 和 英国蜜网项目组 所搜集到的攻击数据给出 *** 钓鱼攻击的一些实际案例分析。这篇文章关注于由蜜网项目组在实际环境中发现的真实存在的 *** 钓鱼攻击案例，但不会覆盖所有可能存在的 *** 钓鱼攻击 *** 和技术。攻击者也在不断地进行技术创新和发展，目前也应该有（本文未提及的）新的 *** 钓鱼技术已经在开发中，甚至使用中。
在给出一个简要的引言和背景介绍后，我们将回顾钓鱼者实际使用的技术和工具，给出使用蜜网技术捕获真实世界中的 *** 钓鱼攻击的三个实验型研究的案例。这些攻击案例将详细地进行描述，包括系统入侵、钓鱼网站架设、消息传播和数据收集等阶段。随后，将对其中普遍应用的技术及 *** 钓鱼、垃圾邮件和僵尸 *** 等技术进行融合的趋势给出分析。钓鱼者使用恶意软件进行自动化地 Email 地址收集和垃圾邮件发送的案例也将被回顾，同时我们也将展示我们在 *** 扫描技术及被攻陷主机如何被用于传播钓鱼邮件和其他垃圾邮件上的发现。最后，我们对本文给出结论，包括我们在最近 6 个月内获得的经验，以及我们建议的进一步研究的客体。
这篇文章包括了丰富的支持性信息，提供了包含特定的 *** 钓鱼攻击案例更详细数据的链接。最后声明一下，在研究过程中，我们没有收集任何机密性的个人数据。在一些案例中，我们与被涉及 *** 钓鱼攻击的组织进行了直接联系，或者将这些攻击相关的数据转交给当地的应急响应组织。
引言
欺骗别人给出口令或其他敏感信息的 *** 在黑客界已经有一个悠久的历史。传统上，这种行为一般以社交工程的方式进行。在二十世纪九十年代，随着互联网所连接的主机系统和用户量的飞速增长，攻击者开始将这个过程自动化，从而攻击数量巨大的互联网用户群体。最早系统性地对这种攻击行为进行的研究工作在 1998 年由 Gordon 和 Chess 发表。（ Sarah Gordon, David M. Chess: Where There's Smoke, There's Mirrors: The Truth about Trojan Horses on the Internet , presented at the Virus Bulletin Conference in Munich, Germany, October 1998 ） Gordon 和 Chess 研究针对 AOL （美国在线）的恶意软件，但实际上他们面对的是 *** 钓鱼的企图而不是他们所期望的特洛伊木马攻击。 *** 钓鱼 (Phishing) 这个词 (password harvesting fishing) 描述了通过欺骗手段获取敏感个人信息如口令、信用卡详细信息等的攻击方式，而欺骗手段一般是假冒成确实需要这些信息的可信方。
参考资料：
*** 安全有个概念：钓鱼和反钓鱼！应该怎么理解
*** 钓鱼是通过大量发送声称来自于银行或其他知名机构的欺骗性垃圾邮件，意图引诱收信人给出敏感信息（如用户名、口令、帐号 ID 、 ATM PIN 码或信用卡详细信息）的一种攻击方式。最典型的 *** 钓鱼攻击将收信人引诱到一个通过精心设计与目标组织的网站非常相似的钓鱼网站上，并获取收信人在此网站上输入的个人敏感信息，通常这个攻击过程不会让受害者警觉。这些个人信息对黑客们具有非常大的吸引力，因为这些信息使得他们可以假冒受害者进行欺诈性金融交易，从而获得经济利益。受害者经常遭受显著的经济损失或全部个人信息被窃取并用于犯罪的目的。这篇“了解你的敌人”文章旨在基于 德国蜜网项目组 和 英国蜜网项目组 所搜集到的攻击数据给出 *** 钓鱼攻击的一些实际案例分析。这篇文章关注于由蜜网项目组在实际环境中发现的真实存在的 *** 钓鱼攻击案例，但不会覆盖所有可能存在的 *** 钓鱼攻击 *** 和技术。攻击者也在不断地进行技术创新和发展，目前也应该有（本文未提及的）新的 *** 钓鱼技术已经在开发中，甚至使用中。
在给出一个简要的引言和背景介绍后，我们将回顾钓鱼者实际使用的技术和工具，给出使用蜜网技术捕获真实世界中的 *** 钓鱼攻击的三个实验型研究的案例。这些攻击案例将详细地进行描述，包括系统入侵、钓鱼网站架设、消息传播和数据收集等阶段。随后，将对其中普遍应用的技术及 *** 钓鱼、垃圾邮件和僵尸 *** 等技术进行融合的趋势给出分析。钓鱼者使用恶意软件进行自动化地 Email 地址收集和垃圾邮件发送的案例也将被回顾，同时我们也将展示我们在 *** 扫描技术及被攻陷主机如何被用于传播钓鱼邮件和其他垃圾邮件上的发现。最后，我们对本文给出结论，包括我们在最近 6 个月内获得的经验，以及我们建议的进一步研究的客体。
这篇文章包括了丰富的支持性信息，提供了包含特定的 *** 钓鱼攻击案例更详细数据的链接。最后声明一下，在研究过程中，我们没有收集任何机密性的个人数据。在一些案例中，我们与被涉及 *** 钓鱼攻击的组织进行了直接联系，或者将这些攻击相关的数据转交给当地的应急响应组织。
引言
欺骗别人给出口令或其他敏感信息的 *** 在黑客界已经有一个悠久的历史。传统上，这种行为一般以社交工程的方式进行。在二十世纪九十年代，随着互联网所连接的主机系统和用户量的飞速增长，攻击者开始将这个过程自动化，从而攻击数量巨大的互联网用户群体。最早系统性地对这种攻击行为进行的研究工作在 1998 年由 Gordon 和 Chess 发表。（ Sarah Gordon, David M. Chess: Where There's Smoke, There's Mirrors: The Truth about Trojan Horses on the Internet , presented at the Virus Bulletin Conference in Munich, Germany, October 1998 ） Gordon 和 Chess 研究针对 AOL （美国在线）的恶意软件，但实际上他们面对的是 *** 钓鱼的企图而不是他们所期望的特洛伊木马攻击。 *** 钓鱼 (Phishing) 这个词 (password harvesting fishing) 描述了通过欺骗手段获取敏感个人信息如口令、信用卡详细信息等的攻击方式，而欺骗手段一般是假冒成确实需要这些信息的可信