给你介绍一个假的苹果网站，能肉眼看出来算我输

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 2557 天前的主题，其中的信息可能已经有所发展或是发生改变。

苹果网站： https://www.аррӏе.com/

原文链接： http://www.cnbeta.com/articles/tech/604235.htm

第 1 条附言 · 2017-04-20 10:30:25 +08:00

看到大家的反馈 chrome 58.0.3029.81 已经修复了此问题。
大家赶紧升级吧
如果你还想体验这个 bug 的话，可以使用 btsync 下载到旧版 chrome 。
BTsync 只读密钥： BJZ7EUXS7B5NG2KMIU3HUQ4KYYKBMN74E
相关贴子： https://www.v2ex.com/t/349136

苹果

肉眼

网站

原文

80 条回复 • 2017-04-22 14:04:08 +08:00

Aliencn

2017-04-19 17:45:51 +08:00

win10 系统
在 chrome 下肉眼没看出来，在火狐下能看出域名有点问题。

xvx

2017-04-19 17:46:58 +08:00

firefox:

Hey there!

This may or may not be the site you are looking for! This site is obviously not affiliated with Apple, but rather a demonstration of a flaw in the way unicode domains are handled in browsers.

Mutoo

2017-04-19 17:47:35 +08:00

666, punycode 欺骗 https://www.xn--80ak6aa92e.com/

imlonghao673

2017-04-19 17:48:09 +08:00 via Android

https://ooo.0o0.ooo/2017/04/19/58f7324ce96d6.png

imcocc

2017-04-19 17:48:19 +08:00 via Android

https://www.xn--80ak6aa92e.com/
网址是这个
这漏洞好严重！

tracedocting

2017-04-19 17:48:37 +08:00 via iPhone

ios 下 Safari 能看得出来……

chust

2017-04-19 17:48:41 +08:00 via Android

@xvx 这是网页内容，不是 Firefox 的提示。。。

jy02201949

2017-04-19 17:49:52 +08:00 via iPhone

http://i.imgur.com/AOjmUkC

在 iphone 上看那个 l 字母短了一截

zts1993

2017-04-19 17:51:31 +08:00

复制到微信 windows 发出去。。

xvx

2017-04-19 17:53:45 +08:00

@chust 确实，不改字体看不出来……

ProjectAmber

2017-04-19 17:55:42 +08:00

Chrome 57.0.2987.133 on Windows 10 ，一眼就能看出来 apple 的字体不对。
这个倒是看不出来： https://www.xn--e1awd7f.com

mgna17

2017-04-19 17:56:23 +08:00

i.imgur.com/HDEmnVf.png

Droid Sans Fallback 😂

xspoco

2017-04-19 18:04:54 +08:00

https://www.v2ex.com/t/355174

这不是前几天说过了

hicdn

2017-04-19 18:29:29 +08:00

再来一个
https://аӏірау.com

cbais7890

2017-04-19 18:59:04 +08:00

@tracedocting Mac 下 Safari 效果也是这样

wly19960911

2017-04-19 19:05:41 +08:00

前几天说了+1

zscself

2017-04-19 19:07:06 +08:00

前几天说了++1

doubleflower

2017-04-19 19:21:13 +08:00

网址里没有 L 就完美了，比如

http://www.арр.com/
http://www.app.com/

表面完全一样。

lazycat

2017-04-19 19:37:13 +08:00

Chrome 59 dev
表示在 v2 不是第一次看到这种帖子了。。。
然而地址栏就是 https://www.xn--80ak6aa92e.com/ 这个样子的啊（

zhihaofans

2017-04-19 19:40:10 +08:00 via iPhone

https://ooo.0o0.ooo/2017/04/19/58f74c8abe7c2.png

UnisandK

2017-04-19 19:49:48 +08:00

firefox ， 10.10 ，那个 l 太明显了

seeker

2017-04-19 20:01:16 +08:00

Mac 一眼看出来了。前几天说了。

Showfom

2017-04-19 20:17:13 +08:00

这哪里算漏洞。。。。 IDN 刚出来的时候就有这么做的了只是 Firefox Chrome Opera 非要用 IDN 显示在地址栏

whitefable

2017-04-19 20:24:40 +08:00

其实这个字体一下还比较明显.........反而前几天说的那个 epic 的倒是难看出来=.=

yangff

2017-04-19 20:39:01 +08:00

星际选手是看不出来的

sobigfish

2017-04-19 20:48:10 +08:00

看见过 punycode 的假 ccb.com
给建行的 webmaster 发信没有反馈。某安全中心也没有后续

cskeleton

2017-04-19 20:59:19 +08:00

Chrome 打开 Apple 官网写的 Apple Inc. [US]，不是写的 Secure 。

@tracedocting Mac Chrome 看这个帖子也能看出字体不一样，但是在浏览器地址栏，几乎看起来是一样的。

billlee

2017-04-19 20:59:46 +08:00

我的 Firefox 上显示出来的是衬线体的小写 L, 正常情况下是无衬线体，一眼看上去觉得不对劲，但不知道是哪里有问题

wavingclear

2017-04-19 21:29:19 +08:00

随后该域名被国内黑产以七位数收购

geelaw

2017-04-19 21:30:43 +08:00

你们都没看见前几天的 epic 么……其实 epic 那个也是很旧的事情了

liyvhg

2017-04-19 21:33:26 +08:00 via Android

@geelaw 难怪注册 Tencent ， alibaba ， Facebook 都说有人注册了😂

wdlth

2017-04-19 22:14:06 +08:00

非赛门铁克 EVSSL 请勿访问

starship

2017-04-19 23:06:36 +08:00

http://imgur.com/SmINouF

bukip

2017-04-19 23:25:55 +08:00

所有 xn-*.com 统统禁掉！

longaiwp

2017-04-19 23:40:28 +08:00

@yangff 显然 Chrome56 并没有这样的事情，默认情况下只有 Edge 是显示成编码模式，并且告诉你用了什么字符集和母语样式

yangff

2017-04-20 00:08:07 +08:00

@longaiwp chrome 已经 60 了

KirkZheng

2017-04-20 00:49:29 +08:00 via Android

明显空格就不对

lrxiao

2017-04-20 01:24:20 +08:00

前几天不刚说了 epic
西里尔文真糟啊

dynaguy

2017-04-20 01:36:55 +08:00

我把樓主的鏈接 email 給自己，結果：
MailScanner has detected a possible fraud attempt from "www.Ð°Ñ_BAD_Ñ_BAD_Ó_BAD_Ðµ.com" claiming to be https://www.аррӏе.com/

dynaguy

2017-04-20 01:38:49 +08:00

同時測試了 Vivalda, 直接顯示了 www.xn--80ak6aa92e.com

msg7086

2017-04-20 06:05:27 +08:00

@dynaguy Vivaldi 没这 Bug 。

SingeeKing

2017-04-20 06:26:02 +08:00

不是 EV 证书，下一个

Perry

2017-04-20 06:39:32 +08:00

macOS Chrome 也变短了

murmur

2017-04-20 08:01:16 +08:00

IE 的又一次大胜利

zdnet

2017-04-20 08:24:06 +08:00

Win10 Edge 下非常明显。

foreverplay

2017-04-20 08:39:09 +08:00

deepin 下 chrome 的 L 是带尾巴的,类似手写体

Tink

2017-04-20 08:53:05 +08:00

Hey there!

This may or may not be the site you are looking for! This site is obviously not affiliated with Apple, but rather a demonstration of a flaw in the way unicode domains are handled in browsers.

See what this is about