我正在使用机器学习制作网络钓鱼过滤器，并且正在使用本文中提到的功能http://scialert.net/abstract/?doi=jas.2011.3301.3307
其中一项功能说“URL 包含十六进制字符或 @ 符号”，为什么 URL 中的 @ 会带来潜在的安全风险，而对于网络钓鱼来说更具体？
编辑：过滤器位于电子邮件级别，因此 URL 将作为消息的一部分
为什么 '@' 在 url 中存在安全风险？
信息安全
电子邮件
网络钓鱼
2021-08-28 12:03:02
1个回答
URI 方案的组成如下：
scheme:[//[user:password@]host[:port]][/]path[?query][#fragment]
如您所见，@用于直接在 url 中包含（在本例中为 HTTP）身份验证。然后问题就变成了“为什么包含身份验证的 url 会成为网络钓鱼的标志？”。
我不知道作者的推理，但我见过的最常见的论点是，这是一种让用户混淆域是什么的简单方法。例如，http://www.mozilla.org&login3:141592653589793238462643383279502884197169@example.com/evil看起来很像正在加载www.mozilla.org，但如果你看起来足够近，它实际上是example.com/evil. 诱骗用户信任虚假网站是网络钓鱼攻击的核心，因此这为网络钓鱼者提供了非常好的攻击机会。