什么是釣網(wǎng)站魚式攻擊
網(wǎng)釣技術(shù)
（2）安全瀏覽的保全模型基礎(chǔ)漏洞
點擊通過綜合癥：然而，瀏覽器對設(shè)置錯誤站點的警告繼續(xù)，它并未被降低等級。如果證書本身有錯(像域名匹配錯誤、過期等等)，則瀏覽器一般都會彈出窗口警告用戶。就是因為設(shè)置錯誤太過尋常，用戶學(xué)會繞過警告。目前，用戶習(xí)慣同樣的忽略所有警告，導(dǎo)致點擊通過綜合癥。例如， Firefox 3 有個點擊4次以加入例外網(wǎng)站的程序，但是研究顯示老練的用戶會忽略有中間人攻擊(Man-In-The-Middle，簡稱MITM) 的真正情況。即使在今天，因為絕大多數(shù)的警告是錯誤設(shè)置而非真正的中間人攻擊，要避免點擊通過綜合癥是相當困難。
美國銀行的網(wǎng)站是眾多要求用戶選擇的個人圖像、并在任何要求輸入密碼的場合顯示該用戶選定圖片的網(wǎng)站之一。該銀行在線服務(wù)的用戶被指示在只有當他們看到他們選擇的圖像才輸入密碼。然而，最近的一項研究表明僅有少數(shù)用戶在圖像不出現(xiàn)時不會鍵入他們的密碼。此外，此功能（像其他形式的雙因素認證）對其他攻擊較脆弱，企業(yè)網(wǎng)站建設(shè)，如2005年年底斯堪的納維亞諾爾迪亞銀行案，與2006年的花旗銀行案。
近來網(wǎng)釣的攻擊
打擊網(wǎng)釣攻擊有許多不同的技術(shù)，包括設(shè)立專門的技術(shù)和立法以防范網(wǎng)釣。
大多數(shù)網(wǎng)釣盯上的網(wǎng)站都是保全站點，這意味著的SSL強加密用于服務(wù)器身份驗證，并用來標示在該網(wǎng)站的網(wǎng)址。理論上，利用SSL認證來保證網(wǎng)站到用戶端是可能的，并且這個過去是SSL第二版設(shè)計要求之一以及能在認證后保證保密瀏覽。不過實際上，這點很容易欺騙。
據(jù)估計，從2004年5月和2005年5月，大約120萬計算機用戶在美國遭受網(wǎng)釣所造成的損失，總計約92900萬美元。隨著為美國企業(yè)的客戶成為受害者，該國企業(yè)估計每年損失20億美元。 2007年網(wǎng)釣攻擊升級。截至2007年8月前在美國360萬成年人于12個月內(nèi)失去32億美元。在英國，網(wǎng)絡(luò)銀行詐騙的損失 — 大多來自網(wǎng)釣 — 幾乎增加了一倍從2004年1220萬英鎊到2005年2320英鎊，而在2005年，每20個計算機用戶中就有一個聲稱因網(wǎng)釣造成的財務(wù)損失。
鑒別一個RapidShare網(wǎng)釣網(wǎng)頁的最簡單方式是使用 Mozilla Firefox，右擊別名頁，并選擇“This Frame” > “Show only this frame”。這將揭露真正的網(wǎng)頁，您可以看到網(wǎng)址將不是rapidshare.com。
在美國，參議員派崔克•萊希(Patrick Leahy)在2005年3月1日向美國國會提審2005反網(wǎng)釣法案。這項法案，如果它已成為法律，將向建立虛假網(wǎng)站、發(fā)送虛假電子郵件以詐欺消費者的罪犯求處罰款高達25萬美金并且可監(jiān)禁長達5年。英國在2006年以2006詐欺法強化了其打擊仿冒欺詐的法律武器，該法案采用一般欺詐罪，可求刑監(jiān)禁多達10年，并禁止開發(fā)或意圖欺詐下?lián)碛芯W(wǎng)釣軟件包。
（3）瀏覽器提醒用戶欺詐網(wǎng)站
早期在AOL的網(wǎng)釣
哪個站：用戶應(yīng)該確認在瀏覽器的網(wǎng)址欄的網(wǎng)域名稱是實際上他們要訪問的地方。網(wǎng)址可能是過度復(fù)雜而不容易從語法上分析。用戶通常不知道或者不會鑒別他們想要鏈接的正確網(wǎng)址，故鑒定真?zhèn)闻c否變得無意義。有 意義的服務(wù)器認證條件是讓服務(wù)器的識別碼對用戶有意義；而許多電子商務(wù)網(wǎng)站變更其網(wǎng)域名成為他們整體網(wǎng)站組合的其中之一 (譯按：極端例子像 化妝零售部A.百貨B.行銷公司C.電視臺D.com 這樣子網(wǎng)域的架構(gòu))，這種手段讓困惑的機率增大。而一些反網(wǎng)釣工具條僅顯示訪問過網(wǎng)站域名的做法是不夠的。
從AOL到金融機構(gòu)的轉(zhuǎn)型
英國銀行機構(gòu)APACS采取的立場是：“客戶還必須采取合理的預(yù)防措施... ，如此對罪犯而言他們才不會好欺負。”同樣，2006年9月當?shù)谝淮未罅康木W(wǎng)釣攻擊登陸愛爾蘭銀行業(yè)界時，愛爾蘭銀行起初拒絕補償客戶所遭受的損失（而且它仍然堅持認為，它的政策不應(yīng)如此），雖然會補償損失的金額上限定調(diào)為1萬1300英鎊還算不錯。
網(wǎng)釣技術(shù)最早于1987年問世，而首度使用“網(wǎng)釣”這個術(shù)語是在1996年。該辭是英文單詞釣魚(fishing)的變種之一，大概是受到“飛客”(phreaking)一詞影響，意味著放線釣魚以“釣”取受害人財務(wù)數(shù)據(jù)和密碼。
網(wǎng)釣的歷史與現(xiàn)狀 網(wǎng)釣造成的損失 在計算機安全領(lǐng)域里，釣魚式攻擊（Phishing，與釣魚的英語fishing發(fā)音一樣，又名“網(wǎng)釣法”或“網(wǎng)絡(luò)網(wǎng)釣”，以下簡稱網(wǎng)釣）是一種企圖從電子通訊中，通過偽裝成信譽卓著的法人媒體以獲得如用戶名、密碼和信用卡明細等個人敏感信息的犯罪詐騙過程。 網(wǎng)釣的例子
幾乎所有從公司到其客戶的合法電子郵件都起碼包含一項信息是網(wǎng)釣者手頭沒有的。有些公司，例如 PayPal，總是在其電子郵件中以客戶使用者名稱稱呼其客戶，依此類推，如果一封電郵的收件人是以通用格式稱呼（如 “親愛的 PayPal 客戶” ）很可能是企圖在網(wǎng)釣。從銀行和信用卡公司來的電子郵件往往包括賬戶號碼的部分。然而，最近的研究顯 示，大眾通常不區(qū)分帳號頭幾個數(shù)字和尾幾個數(shù)字，這是一個很嚴重的問題，因為頭幾個數(shù)字通常一個金融機構(gòu)的所有客戶都相同。人們可以接受訓(xùn)練來當如果郵件 不包含任何具體的個人信息時提高他們的懷疑。不過，在2006年年初，網(wǎng)釣企圖利用個人化的信息，這使得列明個人信息保證郵件是合法的假設(shè)不安全。 此外，另一項最近的研究報告推斷列明個人信息并不顯著的影響網(wǎng)釣攻擊的成功率，這表明大多數(shù)人并不注意這些細節(jié)。
為了避免被反網(wǎng)釣技術(shù)掃描到網(wǎng)釣有關(guān)的文本，網(wǎng)釣者已經(jīng)開始利用 Flash 構(gòu)建網(wǎng)站。 這些看起來很像真正的網(wǎng)站，但把文本隱藏在多媒體對象中。
網(wǎng)釣報告的圖表顯示網(wǎng)釣有增加的趨勢網(wǎng)釣者目標是針對銀行和在線支付服務(wù)的客戶。理應(yīng)來自于美國國內(nèi)稅收服務(wù)(Internal Revenue service)電子郵件，已被用來收集來自美國納稅人的敏感數(shù)據(jù)。雖然第一次這樣的例子被不分青皂白的寄送，其目的是期望某些收到的客戶會泄漏其銀行或者服務(wù)數(shù)據(jù)，而最近的研究表明網(wǎng)釣攻擊可能會基本上確定潛在受害者會使用哪些銀行，并根據(jù)結(jié)果遞送假冒電子郵件。有針對性的網(wǎng)釣版本已被稱為魚叉網(wǎng)釣(spear phishing)。最近幾個網(wǎng)釣攻擊已經(jīng)具體指向高層管理人員，以及其他企業(yè)大戶，而術(shù)語“鯨釣”(whaling)一辭被創(chuàng)造出來描述這類型的攻擊。
（1）協(xié)助辨識合法網(wǎng)站
PayPal網(wǎng)釣
一個行業(yè)和執(zhí)法機構(gòu)組成的反網(wǎng)釣工作組(Anti-Phishing Working Group，簡稱APWG)建議，隨著人們越來越認識到網(wǎng)釣者所使用的社會工程學(xué)技倆，傳統(tǒng)的網(wǎng)釣欺詐技術(shù)可能在未來過時。他們預(yù)測，網(wǎng)址嫁接和其他利用流氓軟件將變成竊取信息的常見工具。
安全連接：從1990年代中期到2000年代中期安全瀏覽的標準顯示是個鎖頭，而這很容易被用戶忽略。Mozilla于2005年使 用黃底的網(wǎng)址欄使得安全連接較容易辨認。不幸的是，這個發(fā)明后來被撤銷，導(dǎo)因于EV證書：它代以對某些高價的證書顯示綠色，而其他的證書顯示藍色 (譯按：Mozilla Firefox 3.x版非EV證書的安全瀏覽網(wǎng)站皆顯示藍色)。
請注意，許多網(wǎng)絡(luò)網(wǎng)釣電子郵件會如同來自PayPal的一封真正的電子郵件般包括一則永不將您的密碼泄漏以防網(wǎng)釣攻擊的重大警告。這些警告用戶網(wǎng)釣 攻擊的可能性，并提供鏈接到說明如何避免或辨識此種攻擊的網(wǎng)站的種種，是使得該網(wǎng)釣電子郵件如此虛偽以便欺騙。在這個例子里，網(wǎng)釣電子郵件警告用 戶，PayPal絕對不會要求您提供敏感信息。該信件言而有信不問您敏感信息，反而邀請用戶點擊一個鏈接，以“確認”其帳戶;這一步將導(dǎo)引這些受害人進一 步造訪網(wǎng)釣網(wǎng)站，其設(shè)計看起來與PayPal網(wǎng)站很像。而在那里會問這些受害人的個人機密信息。
1997年年后，AOL 注意到網(wǎng)釣與 Warez 并更加緊縮其政策施行，以強迫盜版軟件與AOL服務(wù)器絕緣。AOL另一方面開發(fā)一種可迅速停用與網(wǎng)釣掛勾帳號的系統(tǒng)，這常常在受害人可回應(yīng)之前就達成了。 在AOL的warez后臺關(guān)閉導(dǎo)致大部分網(wǎng)釣者離開該服務(wù)，許多網(wǎng)釣者 — 通常是年輕十幾歲的青少年 — 長大后就戒除了這種壞習(xí)慣。
網(wǎng)釣者可能喬裝成AOL的工作人員，并對可能的受害者發(fā)送即時通訊，詢問此人揭露其密碼。為 了引誘受害者讓出其個人敏感數(shù)據(jù)，通信內(nèi)容不可避免的有類似“確認您的帳號”(verify your account)或者“核對您的帳單地址”(confirm billing information)。一旦發(fā)現(xiàn)受害人的密碼，攻擊者可以獲取并利用受害人的帳戶進行詐欺之用或發(fā)送垃圾郵件。網(wǎng)釣和 warez 兩者在AOL一般需要自行開發(fā)應(yīng)用程序，像AOHell即 是一例。由于在AOL上網(wǎng)釣變得如此普遍，該公司在其所有即時通訊上加了一行聲明：“不會有任何AOL員工會詢問您的密碼或者帳單信息。(No one working at AOL will ask for your password or billing information)”。
在2004年1月26日，美國聯(lián)邦貿(mào)易委員會提交了涉嫌網(wǎng)釣者的第一次起訴。被告是個美國加州少年，據(jù)說他設(shè)計建造了一個網(wǎng)頁看起來像美國在線網(wǎng)站，并用它來竊取信用卡數(shù)據(jù)。其他國家援引了這一判例追蹤并逮捕了網(wǎng)釣者。網(wǎng)釣大戶瓦爾迪爾•保羅•迪•阿爾梅達在巴西被捕。他領(lǐng)導(dǎo)一個最大的網(wǎng)釣犯罪幫派，在兩年之間做案估計偷走約1800萬美元到3700萬美元之間。英國當局在2005年6月收押兩名男子以其在一項網(wǎng)釣欺詐活動扮演的腳色，而這宗案子與美國特勤處《防火墻行動》 (Operation Firewall，目標是當時最大最惡名昭彰的信用卡盜竊網(wǎng)站)有關(guān)。2006年8人在日本被逮捕，日本警方懷疑他們通過假造雅虎日本網(wǎng)站網(wǎng)釣進行欺詐，保釋賠款1億日元（87萬美元）。2006年美國聯(lián)邦調(diào)查局逮捕行動繼續(xù)，以代號《?？ㄈ诵袆印?(CardKeeper) 在美國與歐洲扣押了一個16人的幫派。
誰是管理機構(gòu)：瀏覽器需要指出用戶要求連到對象的管理機構(gòu)是誰。在保全等級最低的階段，不指名管理機構(gòu)，因此就用戶而言瀏覽器就是管理機構(gòu)。瀏覽器供應(yīng)商通過控制可接受的授權(quán)證書(Certification Authorities，簡稱/下稱 CA)根名單來承擔這個責任。這是目前的標準做法。
保全外殼是 一種相關(guān)的技術(shù)，涉及到使用用戶選定的圖片覆蓋上注冊表窗體作為一種視覺提示以表明該窗體是否合法。然而，不像以網(wǎng)站為主的圖像體系，圖像本身是只在用戶 和瀏覽器之間共享，而不是用戶和網(wǎng)站間共享。該體系還依賴于相互認證協(xié)議，這使得它更不容易受到來自侵襲只認證用戶體系的攻擊。
RapidShare網(wǎng)釣
#p#分頁標題#e#
有幾家公司提供銀行和其他可能受到網(wǎng)釣詐騙的組織全天候的服務(wù)、監(jiān)測、分析和協(xié)助關(guān)閉網(wǎng)釣網(wǎng)站。個人可以通過檢舉網(wǎng)釣到志愿者和產(chǎn)業(yè)集團，如 PhishTank 以做出貢獻。
許多公司也加入全力打擊網(wǎng)釣的行列。2005年3月31日，微軟向美國華盛頓西部地方法院提交 117 起官司。這起訴訟指控“無名氏”的被告非法取得的密碼信息和機密信息。2005年3月微軟和澳大利亞政府間合作，向執(zhí)法人員教學(xué)如何打擊各種網(wǎng)絡(luò)犯罪，包括網(wǎng)釣。在2006年3月，微軟宣布計劃進一步在美國境外地區(qū)起訴100案件，隨后該公司信守承諾，截至2006年11月之前，共起訴了129件混合刑事和民事行動的犯罪案件。美國在線亦加強其打擊網(wǎng)釣的努力，在2006年早期根據(jù)維吉尼亞計算機犯罪法2005年修訂版起訴三起共求償1800萬美元，而 Earthlink 已加入幫助確定6名男子在康涅狄格州的案子，這6名人士稍后被控以網(wǎng)釣欺詐。
過濾器規(guī)避
2007年1月，杰弗瑞•布雷特•高汀被陪審團援引的2003年反垃圾郵件法(CAN-SPAM Act of 2003)將其定罪為加州第一位依此法被定罪的被告。他被判犯下對美國在線的用戶發(fā)送成千上萬的電子郵件，并喬裝成AOL的會計部門以催促客戶提交個人和 信用卡數(shù)據(jù)的罪行。面對反垃圾郵件法的101年關(guān)押以及其他數(shù)十個包括詐欺、未經(jīng)授權(quán)使用信用卡、濫用AOL的商標，這部分他被判處70個月監(jiān)禁。因為沒 有出席較早的聽證會，高汀已被拘留，并立即開始入監(jiān)服刑。
一旦受害者訪問網(wǎng)釣網(wǎng)站，欺騙并沒有到此退出。一些網(wǎng)釣詐騙使用 JavaScript 命令以改變地址欄。這由放一個合法網(wǎng)址的地址欄圖片以蓋住地址欄，或者關(guān)閉原來的地址欄并重開一個新的合法的URL達成。
反網(wǎng)釣
打擊網(wǎng)釣的策略之一，是試著培養(yǎng)人們辨識網(wǎng)釣，并教導(dǎo)怎樣處理這些問題。教育可以是有效的，尤其是訓(xùn)練提供直接的回饋。一個被稱為叉網(wǎng)釣 — 利用網(wǎng)絡(luò)網(wǎng)釣電子郵件針對特定的公司 — 的較新網(wǎng)釣手法，已被用來迷惑在社會各個角落的人士，包括西點軍校。 在2004年6月叉網(wǎng)釣的一次實驗中，收到假電子郵件的500名西點軍校學(xué)員中有80％被騙并泄露個人信息。
（一）社會回響
缺乏興趣：另一個潛在因素是缺乏虛擬主機的支持。具體起因是缺乏對在傳輸層安全(Transport Layer Security，簡稱/下稱TLS)網(wǎng)絡(luò)服務(wù)器之服務(wù)器名指示(Server Name Indication，簡稱/下稱SNI)的支持，以及獲取證書費用和不便。結(jié)果是證書使用是太過罕見以至于除了特殊情況外它什么事都不能做。這導(dǎo)因?qū)LS認證普遍知識與資源缺乏，反過來意味著由瀏覽器供營商升級他們安全性用戶界面的過程將是又慢又死氣沉沉。
這里的問題是不管瀏覽器供營商如何企圖控制質(zhì)量，市面上 CA 品質(zhì)良莠不齊亦不實施檢查。亦不是所有簽署 CA 的公司行號取得該證書僅是為了認證電子商務(wù)組織的同一個模型和概念而已。制造證書(Certificate Manufacturing) 是頒給只用來遞送信用卡與電子郵件送達確認的低交易額證書；這兩者的用途都容易受到詐騙罪犯的扭曲。由此引申，一個高交易額的網(wǎng)站可能容易受到另一個可提 供的 CA 認證蒙混。這種情況可能會在 CA 位于世界的另一端，并且對高交易額電子商務(wù)站不熟悉，網(wǎng)上購物商城建設(shè)，或者用戶根本就不關(guān)心這件事。因為 CA 只負責保障它自己的客戶，并不會管其他 CA 的客戶，故這個漏洞在該模型是根深蒂固的。
（二）技術(shù)對策
鏈接操控
在2006年年中一種方法被倡議實施。該方法涉及切換到一種特殊的DNS服務(wù)，篩選掉已知的網(wǎng)釣網(wǎng)域：這將與任何瀏覽器兼容，而且它使用類似利用Hosts文件來阻止網(wǎng)絡(luò)廣告的原理來達成目標。
大多數(shù)的網(wǎng)釣方法使用某種形式的技術(shù)欺騙，旨在使一個位于一封電子郵件中的鏈接（和其連到的欺騙性網(wǎng)站）似乎屬于真正合法的組織。拼寫錯誤的網(wǎng)址或 使用子網(wǎng)域是網(wǎng)釣所使用的常見伎倆。在下面的網(wǎng)址例子里，域名稱轉(zhuǎn)址服務(wù)來掩飾其惡意網(wǎng)址。
令人敬畏的CA模型：瀏覽器供營商使用的 CA 控制機制本質(zhì)上并沒有更新;而威脅模型卻常常翻修。對 CA 品質(zhì)控管過程不足以對保護用戶量身訂做、以及針對實際與當前的威脅做出因應(yīng)。在更新途中審計過程是迫切需要的。最近 EV 指南較詳細地提供了當前模型，并且建立了一個好基準，但是并沒有推動任何本質(zhì)上急需進行的改變。
表面上的缺陷是瀏覽器的保全用戶界面 (UI) 不足以應(yīng)付今日強大的威脅。通過TLS與證書進行保全認證有三部分：顯示連接在授權(quán)模式下、顯示使用者連到哪個站、以及顯示管理機構(gòu)說它確實是這個站點。所有這三個都需齊備才能授權(quán)，并且需要被/送交用戶確認。
標準高壓封鎖：供營商對標準負責，導(dǎo)致當談到安全時就是談?wù)撈渫獍慕Y(jié)果。雖然有許多安全性用戶界面的改進，當中有有許多好的實驗，因為他們不是標準，或者與標準間相抵觸而未被采用。威脅模型可能在一個月內(nèi)自我更新;安全標準調(diào)整需要大約10年。
幾乎有一半的網(wǎng)釣竊賊于2006年被確認是通過位于圣彼得堡的俄羅斯商業(yè)網(wǎng)絡(luò)集團所操控。
另一種替代方法是 Firefox 的 寵物名(petname) 附加元件，這讓用戶鍵入他們自己的網(wǎng)站標簽，因此他們可以在以后再度造訪該站時認出。如果站點沒有被認出，則軟件會警告用戶或徹底阻攔該站點。這代表了以用戶為中心的服務(wù)器身份管理。某些人建議用戶選定的圖像會比寵物名效果要好。
釣來的RapidShare帳戶通常拿來轉(zhuǎn)賣，售價比RapidShare的高級帳戶便宜。
本解決方案首度于早期 IE7 版本上實現(xiàn)。在當其顯示 EV 證書時，發(fā)布的 CA 會被顯示在網(wǎng)址區(qū)域。然而這只是個孤立的案例。CA 烙上瀏覽器面板仍存在阻力，導(dǎo)致只有上面所提最低最簡單的保全等級可選：瀏覽器是用戶交易的管理機構(gòu)。
在威脅之前的保全：由于安全瀏覽發(fā)生在任何威脅出現(xiàn)之前，保全顯示在早期瀏覽器的“房地產(chǎn)戰(zhàn)爭”里被犧牲掉了。網(wǎng)景瀏覽器的原始設(shè)計有個站點名稱暨其 CA 名稱的突出顯示。用戶現(xiàn)在常常習(xí)慣根本不檢查保全信息。
橫向聯(lián)系：瀏覽器的安全模型包括許多參與者如：用戶、瀏覽器供營商、開發(fā)商、證書管理機構(gòu)、審計員、網(wǎng)絡(luò)服務(wù)器供營商、電子商務(wù)站 點、立法者(即 FDIC)和安全標準委員會。介于不同制定安全模型小組間缺乏往來溝通。也就是說，雖然對認證的理解在IETF委員會協(xié)議水平是很夠深的，這個信息并不表 示傳達得到用戶界面小組。網(wǎng)絡(luò)服務(wù)器供應(yīng)商并不會優(yōu)先修正服務(wù)器名指示(TLS/SNI)：它們不把這個問題當成保全修正，反而視其為新功能而推遲。實際上，所有的參與者碰到網(wǎng)釣出事時皆諉過給其他參與者，因此自我本身不會被排上優(yōu)先修正行列。
在RapidShare的網(wǎng)頁主機，網(wǎng)釣是相當尋常以獲得高級帳號手段，從而移除下載速度限制、上傳自動刪除、下載前等候、以及下載間的時間間隔。
美國在線(AOL)的網(wǎng)釣與交換盜版軟件的 warez 社群密切相關(guān)。自從AOL于1995年底采取手段防止利用算法產(chǎn)生的偽造信用卡號來開立帳號后，AOL破解者便訴諸網(wǎng)釣以取得合法帳號。
網(wǎng)釣者使用在warez站張貼到文件的鏈接以獲得RapidShare高級帳戶。然而，利用鏈接別名工具如TinyURL， 他們可以偽裝成實際上真正網(wǎng)頁寄存在別的地方的網(wǎng)址，而這網(wǎng)頁與RapidShare的“免費用戶或高級用戶 (free user or premium user)”頁看來很像。如果受害人選擇免費用戶，網(wǎng)釣者只是將它們傳遞給真正的RapidShare網(wǎng)站。但是，如果他們選擇的高級帳戶，那么網(wǎng)釣網(wǎng)站 的將在他們進行下載之前登記其登入信息。到此階段，網(wǎng)釣者已從受害者偷走了高級帳戶信息。
反網(wǎng)釣措施已經(jīng)實現(xiàn)將其功能內(nèi)嵌于瀏覽器，作為瀏覽器的擴展或工具欄，以及網(wǎng)站的注冊表程序的一部分。下面是一些解決問題的主要方法。
攻擊者甚至可以利用在信譽卓著網(wǎng)站自己的腳本漏洞對付受害者。這一類型攻擊（也稱為跨網(wǎng)站腳本）的問題尤其特別嚴重，因為它們導(dǎo)引用戶直接在他們自己的銀行或服務(wù)的網(wǎng)頁登入，在這里從網(wǎng)絡(luò)地址到安全證書的一切似乎是正確的。而實際上，鏈接到該網(wǎng)站是經(jīng)過擺弄來進行攻擊，但它沒有專業(yè)知識要發(fā)現(xiàn)是非常困難的。這樣的漏洞于2006年曾被用來對付PayPal。
這事務(wù)隨著一個包含瀏覽器供應(yīng)商、審計員、以及證書管理機構(gòu)的團體： CAB 論壇推出有了一點改善。但是該團體并不是以開放的態(tài)度開始，因此導(dǎo)致其結(jié)果受到主要大戶商業(yè)利益的影響，而且缺乏對所有參與者平等對待。即使在今天， CAB 論壇并不開放，而且它不為小型證書管理機構(gòu)、終端用戶、電子商務(wù)站主等等弱勢族群喉舌。
為了減輕網(wǎng)釣網(wǎng)站通過內(nèi)嵌受害人網(wǎng)站的圖像（如商標）藉以冒充的問題，一些網(wǎng)站站主改變了圖像傳送消息給訪客，某個網(wǎng)站可能是騙人的。圖像可能移動成新的檔名并且原來的被永久取代，或者一臺服務(wù)器能偵測到的某圖像在正常瀏覽情況下是不會被請求到，進而送出警告的圖像。
人們可以采取措施以避免網(wǎng)釣的企圖，以稍稍修改其瀏覽習(xí)慣的方式。當接觸某要求您“核對身分”（或任何其他網(wǎng)釣所使用的信件要旨）的信件或帳號時， 明智之舉是與該信件明顯來源公司聯(lián)絡(luò)以檢查該電子郵件是否合法。另外，個人所知道地址是該公司的真正的網(wǎng)站，可通過在瀏覽器網(wǎng)址欄輸入拜訪，而不是盲目相 信任何涉嫌詐騙郵件里的超級鏈接。
網(wǎng)釣技術(shù)早在在1987年，以論文與簡報的方式描述交付給 Interex 系統(tǒng)下的國際惠普用戶組。第一次提到“網(wǎng)釣”這個術(shù)語是在1996年1月2日于 alt.online-service.America-online Usenet 新聞組，雖然該術(shù)語可能在黑客雜志2600書面版本上更早出現(xiàn)。
改進保全用戶界面的試驗為用戶帶來便利，但是它也暴露了安全模型里的基本缺陷。過去在安全瀏覽中沿用之SSL認證失效的根本原因有許多種，它們之間縱橫交錯。
還有一種打擊網(wǎng)釣的流行作法是保持一份已知的網(wǎng)釣網(wǎng)站名單，并隨時更新。微軟的IE7的瀏覽器、Mozilla Firefox 2.0、和 Opera都包含這種類型的反網(wǎng)釣措施。 Firefox 2中使用 Google 反網(wǎng)釣軟件。Opera 9.1 使用來自 PhishTank 和 GeoTrust的黑名單，以及即時來自 GeoTrust 的白名單。這個辦法的某些軟件實現(xiàn)會發(fā)送訪問過的網(wǎng)址到中央服務(wù)器以供檢查，這種方式引起了個人隱私的關(guān)注。據(jù) Mozilla 基金會在2006年年底報告援引一項由某獨立軟件測試公司的研究指出， Firefox 2 被認為比 Internet Explorer 7 發(fā)現(xiàn)詐欺性網(wǎng)站更為有效。
網(wǎng)站偽造
（7）法律對策
電話網(wǎng)釣
對此漏洞的解決方案是瀏覽器應(yīng)該顯示，并且用戶應(yīng)該熟悉管理機構(gòu)之名。這把 CA 當作是種品牌體現(xiàn)，企業(yè)網(wǎng)站建設(shè)，并且讓用戶知悉在其所在國家和區(qū)段之內(nèi)可聯(lián)絡(luò)到少數(shù)幾個 CA。品牌的使用亦對 CA 供應(yīng)商至關(guān)重要，借此刺激它們改進證書的審核：因為用戶將知悉品牌差異并要求高交易額站點具備周延的檢查。
社交網(wǎng)站是網(wǎng)釣攻擊的目標，因為在這些網(wǎng)站的個人數(shù)據(jù)明細可以用于身份盜竊;2006年年底一個計算機蠕蟲接管MySpace上的網(wǎng)頁，并修改鏈接以導(dǎo)引該網(wǎng)站的網(wǎng)民到設(shè)計好竊取注冊表信息的網(wǎng)站。實驗表明，針對社交網(wǎng)站的網(wǎng)釣成功率超過70％。
（6）監(jiān)測和移除
并非所有的網(wǎng)釣攻擊都需要個假網(wǎng)站。聲稱是從銀行打來的消息告訴用戶撥打某支電話號碼以解決其銀行帳戶的問題。一旦電話號碼（網(wǎng)釣者擁有這支電話，并由IP電話服務(wù)提供）被撥通，該系統(tǒng)便提示用戶鍵入他們的賬號和密碼。話釣 (Vishing，得名自英文 Voice Phishing，亦即語音網(wǎng)釣）有時使用假冒來電ID顯示，使外觀類似于來自一個值得信賴的組織。
網(wǎng)釣者使用圖像代替文本，使反網(wǎng)釣過濾器更難偵測網(wǎng)釣電子郵件中常用的文本。
隨著 EV 證書的出現(xiàn)，瀏覽器一般以綠底白字顯示機構(gòu)名稱，這讓用戶更加容易辨識并且與用戶期望一致。不幸的是，瀏覽器供應(yīng)商選擇僅限定EV證書可獨享這突出的顯示，其他種證書就留待用戶自己自求多福了。
還有一種由RSA信息安全公司發(fā)現(xiàn)的萬用中間人網(wǎng)釣包，它提供了一個簡單易用的界面讓網(wǎng)釣者以令人信服地重制網(wǎng)站，并捕捉用戶進入假網(wǎng)站的注冊表細節(jié)。
（4）增加密碼注冊表
一個 PayPal 網(wǎng)釣郵件的抓圖在 PayPal 網(wǎng)釣示例里（見右），電子郵件里的拼寫錯誤以及非 PayPal 網(wǎng)域鏈接的存在（顯示在狀態(tài)欄紅 色框里）都是線索，指出這是一個網(wǎng)釣的企圖。另一種網(wǎng)釣法是無個人問候的贈品，盡管顯示的個人數(shù)據(jù)并不保證其正當性。一個合法的PayPal通信總是以用 戶的真實姓名問候，而非一個普通的問候如： “敬啟者”、“親愛的用戶”(Dear Accountholder)。其他的信息欺詐的跡象像是簡單不過的字拼寫錯誤、文法拙劣、以及威脅收信人若不遵照信息指示辦理的話會遭帳號停用的處分。
專門的垃圾郵件過濾器可以減少一些網(wǎng)釣電子郵件到達收件人的收件箱。這些方法依賴于機器學(xué)習(xí)和自然語言處理辦法來分類網(wǎng)釣電子郵件。
這些通信都聲稱（自己）來自于風(fēng)行的社交網(wǎng)站（YouTube、Facebook、MySpace）、拍賣網(wǎng)站（eBay）、網(wǎng)絡(luò)銀行、電子支付網(wǎng)站（PayPal）、或網(wǎng)絡(luò)管理者（雅虎、互聯(lián)網(wǎng)服務(wù)供應(yīng)商、公司機關(guān)），以此來誘騙受害人的輕信。網(wǎng)釣通常是通過e-mail或者即時通訊進行。它常常導(dǎo)引用戶到URL與界面外觀與真正網(wǎng)站幾無二致的假冒網(wǎng)站輸入個人數(shù)據(jù)。就算使用強式加密的SSL服務(wù)器認證，要偵測網(wǎng)站是否仿冒實際上仍很困難。網(wǎng)釣是一種利用社會工程技術(shù)來愚弄用戶的實例。它憑恃的是現(xiàn)行網(wǎng)絡(luò)安全技術(shù)的低親和度。種種對抗日漸增多網(wǎng)釣案例的嘗試涵蓋立法層面、用戶培訓(xùn)層面、宣傳層面、與技術(shù)保全措施層面。
