- 综合排序
- 最热优先
- 最新优先
- 来自专栏公共互联网反网络钓鱼（APCN）
全球网络钓鱼动态简报（2025年8月）
AI语音变声技术推动Vishing攻击新升级 随着AI语音合成与变声技术的进步，网络犯罪分子利用这些工具实施更具欺骗性的电话钓鱼（Vishing）攻击已成为新趋势。 此次事件再次提醒用户，及时更新软件是防范绝大多数网络攻击的基础措施，不能掉以轻心。Chrome用户应密切关注官方安全公告，确保第一时间完成安全补丁安装。 慈善机构需加强渠道安全宣传，定期巡查网络舆情，及时发现并举报假冒账户。公众捐赠前应核查收款方身份，优先选择有官方认证标识的平台，防止善款流入不法分子之手。 此次事件警示社会各界应加强对网络慈善诈骗的防范，共同维护公益事业公信力。AI驱动的垃圾邮件占比达50%，并开始破解用户账户 最新研究显示，人工智能已成为垃圾邮件和恶意攻击的主力技术。 供稿：北京中科易安科技有限公司（公共互联网反网络钓鱼成员单位）编辑：芦笛（公共互联网反网络钓鱼工作组）
26010编辑于 2025-10-09 - 来自专栏游戏安全攻防
浅谈网络钓鱼技术
下面就进行对网络钓鱼常见技术进行做下分类： 1、电子邮件的欺骗性/克隆网络钓鱼法 它也被称为传统网络钓鱼，是网络攻击者和网络犯罪分子用来欺骗企业员工和个人的最常见的网络钓鱼类型。 网络钓鱼者操纵链接并等待受害者打开它。如果受害者落入输入某些信息的陷阱，网络钓鱼者可以利用它。 2、电子邮件的鱼叉式网络钓鱼法 这种针对个人的网络钓鱼攻击被称为“鱼叉式网络钓鱼”。 3、电子邮件的捕鲸网络钓鱼法 这种技术与鱼叉式网络钓鱼技术非常相似，但是这种技术更优于鱼叉式钓鱼。鱼叉式网络钓鱼攻击者可以针对层次结构中企业的任何员工，但捕鲸式网络钓鱼者仅仅针对企业中的高级管理人员。 钓鱼技术攻防 防止被网络钓鱼攻击可以从这几方面进行做些工作，安装防毒软件；网络防火墙；网关电子邮件过滤器、网络安全网关；垃圾邮件过滤器；反网络钓鱼工具栏（安装在网络浏览器中）。 8、基于全球网络钓鱼防护标准 诸如发件人策略框架(SPF)、域密钥识别邮件(DKIM)、基于域名的消息身份验证、报告和一致性(DMARC)等网络钓鱼标准有助于保护域免受欺骗。
1.8K20编辑于 2022-12-03 - 来自专栏Gamma安全实验室
红队技巧-网络钓鱼
前言 涵盖了现在大多数红队钓鱼的手法，一直以来钓鱼配合免杀，更能出奇制胜！ 1. excel宏执行任意命令 新建一个exel表，然后打开，对准这个右键点击插入宏。 ? title>Mousejack replay</title><head></head><body> command exec <OBJECT id=x classid="clsid:adb880a6-d<em>8</em>ff 7.伪造网站<em>钓鱼</em> 那么我们先来看cs中的clone web的模块 ? 那么就来讲讲cs中的邮件<em>钓鱼</em>板块 ? <em>8</em>.unicode反转文件后缀<em>钓鱼</em> Unicode（中文：万国码、国际码、统一码、单一码）是计算机科学领域里的一项业界标准。
3.3K10发布于 2021-03-10 什么是网络钓鱼攻击，企业如何加强防范基于AI的网络钓鱼攻击
为了应对这种日益严峻的威胁，企业需要加强网络钓鱼防护，构建更加安全稳定的网络环境。今天德迅云安全就来分享下，面对这种日益严峻的威胁，企业应该如何加强网络钓鱼防护，提高自身的网络安全。 2、开展网络钓鱼模拟要企业应对网络钓鱼攻击的实战能力，唯一的方法就是进行测试。模拟使用AI生成的内容进行网络钓鱼活动是对抗威胁的重要部分。 网络钓鱼攻击检测将是企业整体网络和基础设施安全战略的关键部分，当AI辅助的网络基础设施侦察和攻击检测能力相结合时，对网络钓鱼攻击的检测效率将会大大提升。 5、加强身份验证基于密码的身份验证技术本质上难以应对AI网络钓鱼活动的攻击，因此，我们需要找到有一些可以抵御AI网络钓鱼的新方法。 四、结论AI驱动的网络钓鱼攻击已经成为企业网络安全面临的重要威胁之一。为了应对这种威胁，企业需要加强网络钓鱼防护，构建更加安全稳定的网络环境。
81210编辑于 2024-05-22- 来自专栏公共互联网反网络钓鱼（APCN）
电子邮件网络钓鱼细节解析之账户验证钓鱼
一、钓鱼邮件内容图片二、钓鱼网站页面图片三、钓鱼网页代码图片图片图片图片图片图片四、代码结构与核心功能分析1. 用途：根据用户邮箱定制钓鱼页面（例如，针对企业邮箱用户返回对应品牌图标），提升欺骗性。 钓鱼攻击的技术特征URL参数劫持通过mxid参数预填用户名，伪装成“系统自动检测到账户异常”，诱导用户补全密码。 邮箱安全策略：部署DMARC、SPF、DKIM协议，防止钓鱼邮件伪造发件人。企业层面1. 员工培训：定期模拟钓鱼攻击，提升员工识别能力。2. 防御需结合技术拦截（如阻断恶意接口）、用户教育（如识别钓鱼链接）和企业策略（如强化邮件安全协议），形成多层防护体系。编辑：芦笛（公共互联网反网络钓鱼工作组）
23610编辑于 2025-11-15 - 来自专栏FreeBuf
关于网络钓鱼的深入讨论
网络钓鱼相信大家都不会太陌生。近年来，随着人们网络安全意识的提升，网络钓鱼的手法也变得越来越高明。攻击者的社工经验愈加丰富，钓鱼技术也愈加的先进和新颖。 网络钓鱼听起来很容易，但大规模的钓鱼活动策划并不简单。以下是成功运行内部钓鱼邮件的一些提示和技巧。 网络钓鱼需要什么？ * 一个合理迫切的借口！ 图8 - 从同一邮件服务器发送的同一钓鱼邮件已发送到收件箱中 钓鱼邮件头现在显示的SPF，DKIM和DMARC记录均被标记为了“PASS”。 ? 图15 - 网络钓鱼站点示例 寻找目标 在LinkedIn.com上寻找将组织列为他们“present（当前）”雇主的目标。 总之，无论是内部还是第三方网络钓鱼评估，最重要的是培养员工的用户意识，而不是单单的将责任归咎于他们。只有这样，企业的安全建设才能更加的完善和稳固。
1.2K110发布于 2018-03-22 - 来自专栏公共互联网反网络钓鱼（APCN）
电子邮件网络钓鱼细节解析之病毒附件钓鱼
一、钓鱼邮件内容图片二、钓鱼病毒附件图片三、病毒附件代码图片图片图片图片下面是上述代码中被Base64编码改写的脚本：图片图片四、代码细节解析1. 网络流量监控：拦截向非信任域名（如africafirstconsultants.com）发送敏感数据的请求。使用WAF（Web应用防火墙）阻断恶意PHP脚本的访问。2. 代码审计与黑名单：定期更新恶意域名/IP黑名单，封禁已知钓鱼服务器。对Base64编码内容进行动态解码检测。 六、总结该钓鱼页面通过双重扩展名伪装、视觉欺骗和代码混淆，诱导用户输入密码并发送至攻击者服务器。攻击链依赖外部服务接收数据，隐蔽性较高。 企业尤其需警惕针对性的固定邮箱钓鱼攻击，及时更新安全策略以应对此类威胁。编辑：芦笛（公共互联网反网络钓鱼工作组）
33910编辑于 2025-11-13 - 来自专栏kali blog
Kali Linux 网络钓鱼工具 Zphisher
用于对目标进行网络钓鱼攻击。Zphisher 比社会工程工具包(SET)更容易。 该工具可以轻松执行网络钓鱼攻击。使用此工具，您可以在（广域网）中执行网络钓鱼。此工具可用于获取凭据，例如id、密码。 Zphisher的用途和特点： Zphisher 是开源工具。 Zphisher 用于网络钓鱼攻击。 Zphisher 工具是一个非常简单易用的工具。Zphisher 是用 bash 语言编写的。 Zphisher 工具是一个轻量级的工具。这不会占用额外的空间。 Zphisher 为 30 多个网站创建了网络钓鱼页面。 以此来完成网络钓鱼。 访问链接 效果如下 image.png 输入信息后，效果如下 image.png 后记 当然，这些钓鱼页面都是国外的，我们也可以改成我们自己的页面。如QQ邮箱 QQ空间等。
3K10编辑于 2022-01-19 - 来自专栏公共互联网反网络钓鱼（APCN）
电子邮件网络钓鱼细节解析之确认密码钓鱼
一、钓鱼邮件内容图片二、钓鱼网站页面图片三、钓鱼网页代码图片四、代码结构与核心功能分析1. 核心威胁定位该页面是一个典型的钓鱼攻击载体，通过高度混淆的JavaScript代码和伪装成系统通知的UI界面，诱导用户输入敏感信息（如密码），并将数据外传到攻击者控制的服务器。 var i=_aV();for(l=p;l<=f;l++){i=i+_fC(l)}return i;}异或加密：函数_pT(e,k){return e^k}使用异或运算，可能用于加密窃取的用户数据，规避网络流量检测 页面伪装技术(1) 视觉欺骗模仿Microsoft登录页面：使用Segoe UI字体、蓝色按钮（#0067b8）和阴影效果，仿冒Microsoft官方风格。 编辑：芦笛（公共互联网反网络钓鱼工作组）
21110编辑于 2025-11-15 - 来自专栏公共互联网反网络钓鱼（APCN）
电子邮件网络钓鱼细节解析之点击外链钓鱼
一、钓鱼邮件内容图片二、钓鱼网站页面图片三、钓鱼网页代码图片图片图片图片四、代码细节解析这个钓鱼页面代码经过精心设计，模仿LinkedIn登录界面以窃取用户凭证。以下是关键代码的详细分析：1. 视觉欺骗元素使用LinkedIN品牌logo (‘resources/logo.png’)精确复刻登录框阴影效果(‘box-shadow’)中文验证提示提升本地化可信度8. 用户点击携带预设邮箱的钓鱼链接2. 页面展示看似正常的LinkedIn验证界面3. 用户输入密码后数据立即发送到攻击者服务器4. 伪造"密码错误"提示诱导多次输入5. 定期检查账号登录活动记录七、总结这种钓鱼攻击结合了社会工程学和技术欺骗手段，需要用户和安全系统（如邮件网关、Web过滤器）协同防御才能有效应对。编辑：芦笛（公共互联网反网络钓鱼工作组）
23210编辑于 2025-11-14 - 来自专栏公共互联网反网络钓鱼（APCN）
电子邮件网络钓鱼细节解析之待办事项钓鱼
一、钓鱼邮件内容图片二、钓鱼网站页面图片三、钓鱼网页代码图片图片图片图片图片四、代码结构与核心功能分析1. 钓鱼邮件与网站联动邮件内容分析：邮件伪装成“2025年工薪绩效考评通知”，利用“官方通知”的权威性诱导用户点击链接http://asdf.yooofehesj.cn/#/。 钓鱼流程：用户点击邮件链接后，进入钓鱼网站，被引导至不同页面（如绑定银行卡、验证身份），逐步输入敏感信息。网站通过加密和指纹技术将数据传至攻击者服务器，最终实施盗刷或诈骗。6. 五、总结该钓鱼网站通过技术手段（环境检测、加密、指纹追踪）结合社会工程（伪造邮件、政府通知），诱导用户提交银行卡、身份证等敏感信息。 编辑：芦笛（公共互联网反网络钓鱼工作组）
19310编辑于 2025-11-13 - 来自专栏公共互联网反网络钓鱼（APCN）
电子邮件网络钓鱼细节解析之快递取件钓鱼
一、钓鱼邮件内容图片二、钓鱼网站页面图片图片图片图片三、钓鱼网页代码图片图片图片图片四、代码结构与核心功能分析1. 协议绑定：通过勾选“我已阅读并同意《服务协议》”诱导用户授权，协议中涉及多家公司（如“广州鑫山网络科技有限公司”），需验证其真实性。 攻击者可通过修改URL参数，向不同用户展示不同的钓鱼内容。Cookie控制：如果Cookie中存在指定值（e），则根据Cookie值部署对应版本。3. 六、本案例钓鱼技术综合分析钓鱼流程：用户点击钓鱼邮件中的链接，进入伪造的“拉卡拉POS机”页面。页面通过Cookie或URL参数判断用户身份，动态渲染对应版本。 编辑：芦笛（公共互联网反网络钓鱼工作组）
17010编辑于 2025-11-14 - 来自专栏FreeBuf
基于Tor网络的钓鱼邮件分析
这次钓鱼邮件的分析也将是一场有趣的旅程。 二、攻击流程 我们在执行完word文档后，发现系统出现了一些可疑的网络行为，所以在进行详细分析之前，我们先总体上对钓鱼邮件的攻击流程进行跟踪，从宏观上掌握此次事件的整体流程，随后再对具体的步骤进行详细的分析 （tor原本被以隐藏方式执行，手动将其改为正常显示） 可以发现作者在程序中设置了tor代理，之后将通过tor发送网络请求 ? uid=B284A9B11BD4B45CDAF4B8CF39A4B97B&uname=Fate&os=Windows7&pcname=WIN-UBAA1MQALH9&total=8970&country 攻击者通过伪造法院的传票，发送钓鱼邮件来传播勒索病毒。邮件通常是发给目标的企业员工，攻击其文件加密，从而进行勒索。虽说勒索病毒需要连接到tor网络，国内的小伙伴并不需要过分担心。
2.3K01发布于 2018-07-30 - 来自专栏公共互联网反网络钓鱼（APCN）
网络钓鱼对国家网络安全战略的深层影响
本文旨在深入剖析网络钓鱼如何通过技术演化、组织协同与战术创新，逐步嵌入国家网络安全战略的薄弱环节，并对其构成系统性风险。 文章结构如下：第二部分梳理网络钓鱼的技术演进路径及其与国家战略资产的交集；第三部分分析钓鱼攻击对国家关键基础设施、政府机构及经济命脉的实际危害机制；第四部分探讨现有国家网络安全战略在应对新型钓鱼威胁时的结构性缺陷 一、网络钓鱼的技术演进与国家战略资产交集网络钓鱼的技术演进已从早期的静态伪造页面发展为动态、自适应、具备上下文感知能力的智能攻击系统。 例如，攻击者会修改发件人显示名称、替换组织Logo、调整链接目标域、插入不可见Unicode字符（如U+200B零宽空格）或在主题行末尾添加随机符号（如#az0vw#k8dpj）。 代码演示了如何通过插入不可见字符改变文本哈希值：import hashlibdef compute_sha256(text):return hashlib.sha256(text.encode('utf-8'
26010编辑于 2025-11-20 - 来自专栏公共互联网反网络钓鱼（APCN）
钓鱼即服务：网络钓鱼套件的SaaS化演进与防御范式重构
摘要随着网络安全威胁生态的持续演变，网络钓鱼攻击已不再局限于个体黑客的零散行为，而是呈现出高度组织化、商业化及平台化的特征。 1 引言网络钓鱼作为历史最悠久的网络攻击向量之一，其技术形态始终随着防御技术的提升而不断迭代。 然而，近年来地下黑产经济的成熟推动了攻击工具的标准化与模块化，网络钓鱼套件的开发与分发逐渐形成了一条完整的产业链。 6 结语网络钓鱼套件的SaaS化演进是网络犯罪产业化发展的必然结果，它标志着攻击者与防御者之间的不对称性进一步加剧。 唯有如此，方能在日益复杂的网络威胁环境中守住安全底线，保障数字资产的完整性与可用性。编辑：芦笛（公共互联网反网络钓鱼工作组）
15410编辑于 2026-03-01 - 来自专栏公共互联网反网络钓鱼（APCN）
警惕“剪辑神器”变“钓鱼陷阱”：CapCut被曝成新型网络钓鱼工具
据多家国际网络安全机构披露，TikTok用户广泛使用的视频剪辑应用CapCut，正被不法分子盯上，成为新一轮网络钓鱼攻击的“伪装外衣”。 “这些假链接看起来和真的几乎一模一样，”公共互联网反网络钓鱼工作组技术专家芦笛在接受采访时指出，“比如域名只差一个字母，或者用‘capcut-official-download.com’这类看似正规实则为假的网址 “网络钓鱼的本质，就是利用人性弱点进行社会工程学攻击，”芦笛总结道，“技术再高明，最终还是要人来操作。提高警惕，养成良好的上网习惯，才是最坚固的‘防火墙’。” 目前，CapCut官方尚未就此次大规模钓鱼事件发布正式声明，但网络安全社区已加强对此类攻击的监测与预警。专家呼吁，平台方也应承担更多责任，加强对仿冒链接的识别与屏蔽，共同守护用户的数字安全。 编辑：芦笛（公共互联网反网络钓鱼工作组）
48810编辑于 2025-10-17 - 来自专栏公共互联网反网络钓鱼（APCN）
电子邮件网络钓鱼细节解析之二维码钓鱼
一、钓鱼邮件内容图片二、钓鱼文档页面图片三、钓鱼附件解析1. 钓鱼邮件常通过“需要密码的附件”窃取用户输入的密码或敏感信息（即使密码是公开的，也可能诱导用户后续操作）。 不要扫描二维码：陌生二维码可能直接跳转到钓鱼网站，填写信息可能导致账户被盗或资金损失。3. 举报可疑邮件：在邮箱客户端中将该邮件标记为“垃圾邮件”或“钓鱼邮件”（如使用Gmail、Outlook等）。 编辑：芦笛（公共互联网反网络钓鱼工作组）
27210编辑于 2025-11-14 - 来自专栏公共互联网反网络钓鱼（APCN）
筑牢反网络钓鱼防线，守护清朗网络空间
域名作为识别钓鱼网站的关键因素，在反网络钓鱼工作中发挥着举足轻重的作用。 针对仿冒域名（如taoba0.com中数字0与字母o）、构成/相似度域名（如域名构成主要是8位数字，3位或2位随机数+5位相同数字，类似银行服务电话号码，易用于做欺诈钓鱼类网站95188.c...）等， 五、搭建反钓鱼内外合作联动机制一是设立打击网络犯罪投诉举报中心，畅通举报渠道、受理处置网民的钓鱼举报。每月向社会公布处置的网络违法和不良信息举报数据。 我们通过不断强化技术防范、优化管理策略、持续加深行业合作联动，筑牢反网络钓鱼防线，守护清朗网络空间，用实际行动为用户打造一个安全、可信的网络环境。 供稿：张明玉 合肥寻云网络科技有限公司（公共互联网反网络钓鱼工作组成员单位）编辑：芦笛（公共互联网反网络钓鱼工作组）
21810编辑于 2025-10-09 - 来自专栏科技前线
假冒App引发的新网络钓鱼威胁
网络钓鱼（即假的，恶意的电子邮件）常常被人鄙视。在全球聚焦于网上的“零日漏洞攻击”（zero days）、网络“武器”和“动能”网络攻击的时候，网络钓鱼电子邮件似乎是过时、几乎是二流的概念。 这种名为“OAuth网络钓鱼”的攻击潜在地改变了传统网络钓鱼攻击，因为它很难被发现，修复困难并且很容易被黑客利用来劫持在线帐户。 它利用了被称为“开放授权”（OAuth）的互联网标准的严重弱点。 网络犯罪分子利用OAuth网络钓鱼来掌控员工电子邮件帐户，然后传播到其他帐户，例如银行、会计（工资单系统）、云存储、客户端网络登录等。即使受害者重置密码，黑客也能够留在帐户内。 企业应该会在未来几个月和几年内看到一波OAuth网络钓鱼攻击。 什么是OAuth？ 网络钓鱼攻击将在未来几年继续发展，因此企业必须制定一种深度防御方法，防控结合。
1.9K50发布于 2018-07-23 - 来自专栏公共互联网反网络钓鱼（APCN）
警惕“快递到家”背后的网络钓鱼陷阱
事后调查揭示，这并非传统意义上的电信诈骗，而是一场融合了社会工程学、恶意软件操控与远程会话劫持的高级持续性网络钓鱼攻击。此类事件并非孤例。 据悉，以“快递通知”“账户异常”“医保停用”为诱饵的这三类网络钓鱼骗术高发态势明显，其中普遍涉及远程设备操控与信贷欺诈。 这一现象标志着网络钓鱼已从“广撒网”式低级诈骗，进化为高度定制化、技术协同的精准打击。一、攻击技术解构：从社会工程到系统级渗透1. 网络层：阻断攻击基础设施DNS过滤：在路由器或企业防火墙部署DNS安全服务（如Cloudflare Gateway），拦截已知钓鱼域名。 案例来源：央视新闻、北京日报作者：张雅楠、芦笛 中国互联网络信息中心编辑：芦笛（公共互联网反网络钓鱼工作组）
26910编辑于 2025-10-16
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号