یکی از ترفندهای حملات فیشینگ، ساخت سایت‌های مشابه با سایت‌های درگاه پرداخت الکترونیک در وب است.
این سایت‌ها به قدری ماهرانه طراحی و از نسخه اصلی کپی‌برداری می‌شوند که در ظاهر سایت هیچ تفاوتی مشاهده نمی‌شود. فقط کاربران می‌توانند از روی لینک آدرس سایت یا دامنه و علایم دیگری که در نوار آدرس است؛ متوجه جعلی بودن سایت درگاه پرداخت الکترونیک شوند.
حالا تصور کنید یک سایت جعلی و فیشینک با دامنه رسمی ir فعالیت کند و هدف آن هم جعل سایت شاپرک باشد.
آن‌طور که برخی کاربران در شبکه‌های اجتماعی گزارش دادند و تصاویر اسکرین‌شات سایت مربوطه پخش شده است؛ این سایت فیشینگ با تغییر چند حرف دامنه shaparak.ir توانسته یک دامنه ir ثبت کند و این‌طور وانمود سازد که سایت اصلی شاپرک است.
این سایت به طرز ماهرانه‌ای سعی کرده لینک‌های پرداخت کارت جعلی خود را درون اپلیکیشن‌ها و برخی سایت‌های دیگر قرار داده و کاربران به طور ناخواسته به این سایت هدایت شوند. بعد، با وارد کردن اطلاعات کارت بانکی و رمز دوم؛ امکان سرقت پول از حساب‌شان را فراهم می‌کنند.
همان‌طور که می‌دانید شاپرک، درگاه و شبکه اصلی پرداخت الکترونیک کارتی است و تمام بانک‌ها و موسسات مالی باید به این درگاه برای تبادل‌های بانکی و کارتی متصل باشند.
البته، خوش‌بختانه مجوز HTTPS برای این سایت جعلی فیشینگ صادر نشده و در هنگام مراجعه به آن با هشدار ناامن بودن سایت از سوی مرورگرهای وب روبرو می‌شوید.
تکنیک‌های جدید و پیچیده طراحی سایت‌های جعلی در ماه‌های گذشته چندین سایت فیشینگ برای درگاه‌های پرداخت الکترونیکی بانک‌های ملت، پاسارگارد، پارسیان و غیره یافت و مسدود شدند.
همزمان با افزایش دانش و آگاهی کاربران نسبت به سایت‌های جعلی، شاهد پیچیده‌تر شدن ترفندها و تکنیک‌های هکرها و سارقان اینترنتی در حملات فیشینگ هستیم.
استفاده از حروف و علایم مشابه در زبان‌های دیگر برای دامنه سایت جعلی، استفاده از علایم و حروفی که کمتر دیده شده و به سادگی در نوار آدرس قابل تشخیص نیستند و دور زدن نهادهای گواهی‌دهنده با انواع ترفندها و مدارک؛ برخی از تکنیک‌های جدید حملات فیشینگ هستند.
تصور کنید در آدرس بار یک سایت از علامت کسره در زبان فارسی استفاده شود. وقتی علامت کسره به انتهای آدرس سایت اضافه شود؛ تقریبا مشاهده آن برای کاربران غیرممکن است.
همین‌طور استفاده از حروف مشابه در صفحه‌کلیدهای زبان‌های دیگر می‌تواند کاربران را گمراه کند. برای مثال، به زبان فارسی سایت بانکی را تایپ کرده و خودتان حواستان نیست ولی سایت جعلی بانک در مرورگر ظاهر شده و شما کارهای بانکی‌تان را دنبال میکنید.
به هر حال، این روزها گشت‌وگذار در وب نیاز به هوشیاری بیشتری دارد و به‌خصوص برای کارهای بانکی و عملیات‌هایی مانند کارت به کارت بهتر است از سایت‌ها و اپلیکیشن‌های مطمئن استفاده کنید و حتما سایت مذکور تاییدیه HTTPS را داشته باشد.
منبع: + (http://1pezeshk.com)
taranoome
July 26th, 2018, 22:51
اخه یک گوای ssl دیگه کاری داره رایگانش تو نت پره این که دلیل نمیشه
HTTPS داشته باشه یعنی سایت جعلی نیست
بیا من با HTTPS رو برات درست کنم تحویل پلیس فتا بدم که انقدر نیان تو تلویزیون بگن با HTTPS باشه:))
1wp.ir
July 27th, 2018, 03:39
چرا لینکش رو مخفی کردید ؟ الان این سایت که گفتید فعال هست؟
data20
July 27th, 2018, 11:48
اخه یک گوای ssl دیگه کاری داره رایگانش تو نت پره این که دلیل نمیشه
HTTPS داشته باشه یعنی سایت جعلی نیست
بیا من با HTTPS رو برات درست کنم تحویل پلیس فتا بدم که انقدر نیان تو تلویزیون بگن با HTTPS باشه
:))
دوست عزیز تاجای که میدونم برای دامنه ir گرفتن ssl یه کم دردسر داره و هزینه و خصوصا که بخوایم green url یا green bar بشه
اگر میتونید بگیرد اطلاعات تماس بدید حداقل از این به بعد میتونم هز ار چندی معرفی کنم از شما تهیه کنن شما هم میتونید توافقی ازشون هزینه بگیربد
این پیام هم جدیدا ایجاد شده و بیشتر جنبه بالا امدت در گوگل داره
RoobinaServer
July 27th, 2018, 12:18
دوست عزیز تاجای که میدونم برای دامنه ir گرفتن ssl یه کم دردسر داره و هزینه و خصوصا که بخوایم green url یا green bar بشه
اگر میتونید بگیرد اطلاعات تماس بدید حداقل از این به بعد میتونم هز ار چندی معرفی کنم از شما تهیه کنن شما هم میتونید توافقی ازشون هزینه بگیربد
این پیام هم جدیدا ایجاد شده و بیشتر جنبه بالا امدت در گوگل داره
سلام
با خرید یک هاست نهایتا 3 یا 5 ت میتوانید بدون هیچ پیچیدگی برای ثبت نام یا ... بر روی دومین هاستتان ssl داشته باشید و فرقی ندارد چه دومینی با چه پسوندی باشد.
باتشکر
Farid Saadat
July 27th, 2018, 12:24
اخه یک گوای ssl دیگه کاری داره رایگانش تو نت پره این که دلیل نمیشه
HTTPS داشته باشه یعنی سایت جعلی نیست
بیا من با HTTPS رو برات درست کنم تحویل پلیس فتا بدم که انقدر نیان تو تلویزیون بگن با HTTPS باشه
:))
سلام،
ممنون میشم واسه من درست کنید. فقط همونطور که می دونید بسیار مهمه که اطلاعات ورودی توسط کاربر برام نمایش داده بشه + کاربر هنگام ثبت نهایی وارنینگ نگیره که سیکیور نیست.
وقتی گرین بار داشته باشید یعنی تمام اطلاعات ارسالی شما در ان فرم اینکریپت می شود و عملا فیشینگ بی معنی است چون اطلاعات کارت و... غیر قابل دسترسی است. فقط مجدد تاکید کنم که مرحله اخر باید حواستون باشه ارور نات سیکیور نگیرید :)
طراحی صفحه تمام شد لینک رو در همین تاپیک ارسال بفرمایید همه دوستان بهره ببرند و سطح علمی همگی بالا بره.
موفق باشید،
با احترام.
- - - Updated - - -
دوست عزیز تاجای که میدونم برای دامنه ir گرفتن ssl یه کم دردسر داره و هزینه و خصوصا که بخوایم green url یا green bar بشه
اگر میتونید بگیرد اطلاعات تماس بدید حداقل از این به بعد میتونم هز ار چندی معرفی کنم از شما تهیه کنن شما هم میتونید توافقی ازشون هزینه بگیربد
این پیام هم جدیدا ایجاد شده و بیشتر جنبه بالا امدت در گوگل داره
اس اس ال lets encrypt رایگان است. همین مورد اوکی باشه یعنی سایر اس اس ال ها هم میشه نصب کرد و شرکت هایی هستند که تحریم نکرده باشند.
data20
July 27th, 2018, 12:38
سلام،
اس اس ال lets encrypt رایگان است. همین مورد اوکی باشه یعنی سایر اس اس ال ها هم میشه نصب کرد و شرکت هایی هستند که تحریم نکرده باشند.
سلام
با خرید یک هاست نهایتا 3 یا 5 ت میتوانید بدون هیچ پیچیدگی برای ثبت نام یا ... بر روی دومین هاستتان ssl داشته باشید و فرقی ندارد چه دومینی با چه پسوندی باشد.
باتشکر
ببینید من ادعایی ندارم میگم من هر از چندی نیاز دارم که دامنه ir با گرین بار تهیه کنم اخرین بار هم اگر اشتباه نکنم حدود 3م هزینه شد حالا اگر کسی میتونه چه بهتر مشخصات بده دفعه بعد با ایشون کار میکنم هم کارفرما من کمتر هزینه میکنه هم طرف مقابل از هیچی پول در میاره
hoka
July 27th, 2018, 13:04
سلام،
ممنون میشم واسه من درست کنید. فقط همونطور که می دونید بسیار مهمه که اطلاعات ورودی توسط کاربر برام نمایش داده بشه + کاربر هنگام ثبت نهایی وارنینگ نگیره که سیکیور نیست.
وقتی گرین بار داشته باشید یعنی تمام اطلاعات ارسالی شما در ان فرم اینکریپت می شود و عملا فیشینگ بی معنی است چون اطلاعات کارت و... غیر قابل دسترسی است. فقط مجدد تاکید کنم که مرحله اخر باید حواستون باشه ارور نات سیکیور نگیرید :)
طراحی صفحه تمام شد لینک رو در همین تاپیک ارسال بفرمایید همه دوستان بهره ببرند و سطح علمی همگی بالا بره.
موفق باشید،
با احترام.
- - - Updated - - -
اس اس ال lets encrypt رایگان است. همین مورد اوکی باشه یعنی سایر اس اس ال ها هم میشه نصب کرد و شرکت هایی هستند که تحریم نکرده باشند.
کاری ندارم به الباقی صحبت هاتون ها ولی کی گفته توی گرین بار یا EV فرم باید حتما انکریپت باشه ؟؟؟ یا اصلا انکریپت بودن یا نبودن چه موضوع مهمی هست وقتی میشه دیکریپتش رو هم نوشت ؟
اصلا کدوم شرکت ssl میاد بک اند سایت رو ببینه ؟؟؟
در آخر فیشینگ رو شما یه سرچی بکن عزیز . فیشینگ دقیقا کاری هست که شما انتظار ندارید و اون هم ***یدن اطلاعات توسط صاحب سایت هست
عجیبه که چیز هایی که میگید بیشتر باعث کلاه برداری میشه
این هم موارد مورد نیاز برای ثبت این نوع ssl البته که اگر یه مقدار حرفه ای باشه طرف از شرکت های خارجی میتونه راحت تر تهیه کنه
در مجموع کار ssl ایجاد یک ارتباط امن پوینت تو پوینت بین کاربر و سرور هست که در این بین کسی نتونه اطلاعات رو شنود کنه و داخل سرور اون key ها باعث باز شدن قفل اطلاعات میشن و مدیر سایت میتونه اون اطلاعات رو مثل یک اطلاعات معمولی ببینه . کسی هم که اون key هارو داشته باشه هم میتونه ببینه بین راه .
Farid Saadat
July 27th, 2018, 14:57
کاری ندارم به الباقی صحبت هاتون ها ولی کی گفته توی گرین بار یا EV فرم باید حتما انکریپت باشه ؟؟؟ یا اصلا انکریپت بودن یا نبودن چه موضوع مهمی هست وقتی میشه دیکریپتش رو هم نوشت ؟
اصلا کدوم شرکت ssl میاد بک اند سایت رو ببینه ؟؟؟
در آخر فیشینگ رو شما یه سرچی بکن عزیز . فیشینگ دقیقا کاری هست که شما انتظار ندارید و اون هم ***یدن اطلاعات توسط صاحب سایت هست
عجیبه که چیز هایی که میگید بیشتر باعث کلاه برداری میشه
این هم موارد مورد نیاز برای ثبت این نوع ssl البته که اگر یه مقدار حرفه ای باشه طرف از شرکت های خارجی میتونه راحت تر تهیه کنه
در مجموع کار ssl ایجاد یک ارتباط امن پوینت تو پوینت بین کاربر و سرور هست که در این بین کسی نتونه اطلاعات رو شنود کنه و داخل سرور اون key ها باعث باز شدن قفل اطلاعات میشن و مدیر سایت میتونه اون اطلاعات رو مثل یک اطلاعات معمولی ببینه . کسی هم که اون key هارو داشته باشه هم میتونه ببینه بین راه .
سلام،
خوبید شما؟
کی گفت میاد بک اند سایت رو میبینه و این حرفا؟! انشالله خدا کمکتون کنه!
فیشینگ ابیوز مشخصی هست. بنده هم همینجا عرض کردم شما اگر تونستید سایت بالا بیارید با اس اس ال سبز، ارور نات سیکیور موقع ثبت دیتا نده، بنده براتون لیست می فرستم شما خروجی رو به بنده بگید و حرفتون مورد قبوله. این حرف من برای اطلاعات ناکافی شما از علت به وجود آمدن اس اس ال هست... گفتم شاید تجربی انجام بدید و متوجه بشید که حرفتون به کل اشتباه هست. اطلاعاتتون بسیار پایه ای هست و فقط پابلیک کی و پرایوت کی شنیدید، ولی سیستم کاری اس اس ال رو به طور قطع میگم نمی دونید. لطفا یک فرم ساده بالا بیارید با اس اس ال سبز، یک تگ فرم اچ تی ام ال ساده هم بذارید. بنده یک متن داخلش میذارم، شما خروجی رو به من بدید. اوکی؟
مورد دیگه، کی صحبت ev یا dv یا ov کرد اصلا که الکی راجع بهش صحبت می فرمایید و صرفا شنیده هاتونو که اطلاعات راجع بهش ندارید یکجا به اشتراک می گذارید؟! کی راجع به این موارد صحبت کرد؟
بنده گفتم شما برای تست می تونید از لتس اینکریپت رایگان استفاده کنید تا ببینید امکان نداره! حالا اگر شما با لتس انکریپت تونستید، با بقیه هم می تونید چون استراکچر یکی هست... فرق در اینکریپشن هست فقط.
در انتها اگر کمی به زبان انگلیسی تسلط دارید مقاله زیر رو مطالعه بفرمایید. به اطلاعات شما بسیار می افزاید.
https://www.digicert.com/ssl/
خصوصا بخش How Does the SSL Certificate Create a
Secure Connection?
و اگر بازهم براتون سخته، پاراگراف آخر در بالای عکس.
Because encrypting and decrypting with private and public key takes a lot of processing power, they are only used during the SSL Handshake to create a symmetric session key. After the secure connection is made, the session key is used to encrypt all transmitted data.
انشالله روزی برسه اطلاعاتمونو درست کنیم و اطلاعات اشتباه منتشر نکنیم.
تستی که بنده گفتم نیز بسیار ساده هست، اگر هنوز معتقدید حرف بنده اشتباه هست، لینک ارسال بفرمایید از تستی که گفتم، شاید این کار اطلاعات من رو کامل کنه :) در صورت عدم تست شما من پاسخی به پاسخ شما نخواهم داشت چون مثل روز روشن است همه چیز برای آنان که اهل تفکر باشند.
موفق باشید،
با احترام.
hoka
July 27th, 2018, 15:32
خداییش ادامه ندید دوست گرامی
Because encrypting and decrypting with private and public key takes a lot of processing power, they are only used during the SSL Handshake to create a symmetric session key. After the secure connection is made, the session key is used to encrypt all transmitted data.
متوجه منظور این صحبت شدید ؟؟ how to create secure connection یعنی اطلاعات رمز نگاری شده بین کاربر و سرور و نه داخل سرور ( معنی و مفهوم کانکشن هم همین هست ارتباط ) !!!!!!
the session key is used to encrypt all transmitted data میفرماید که این کلید سشن باعث انکریپت اطلاعات ( و باز خوانی در مقصد) میشه
تنها کار ssl جلوگیری از شنود هست ولا غیر
شما یه مقدار اطلاعاتت مثل مذهبویون میمونه فکر میکنی چیزی که خودتون متوجه شدید درست هست
بنده ssl ولید از کومودو دارم نیاز هست بگید یه فرم بسازم براتون . عجیب است که فکر میکنید اطلاعات داخل سرور هنوز رمز گذاری شده هست و چطوری باید این اطلاعات رمز گزاری شدرو برنامه تشخیص بده چی هست و ولید کنه و جواب بده اگر انکریپت باشه
فرم
yon.ir/H0ocL
با احترام
lizard.tiny
July 27th, 2018, 15:48
ساده ترین راه حل تشخیص صفحات اصلی و امن در گاهای پرداخت ایرانی از صفحات جعلی ( Fake Page ) در مرورگر گوگل کروم : https://vrl.ir/5yHUXu
karjoo
July 27th, 2018, 16:26
با احترام
حرفتون کلا اشتباهه
اطلاعات فقط بین راه کد میشه
و توی سرور به صورت عادی قابل دسترسی هست
سلام،
خوبید شما؟
کی گفت میاد بک اند سایت رو میبینه و این حرفا؟! انشالله خدا کمکتون کنه!
فیشینگ ابیوز مشخصی هست. بنده هم همینجا عرض کردم شما اگر تونستید سایت بالا بیارید با اس اس ال سبز، ارور نات سیکیور موقع ثبت دیتا نده، بنده براتون لیست می فرستم شما خروجی رو به بنده بگید و حرفتون مورد قبوله. این حرف من برای اطلاعات ناکافی شما از علت به وجود آمدن اس اس ال هست... گفتم شاید تجربی انجام بدید و متوجه بشید که حرفتون به کل اشتباه هست. اطلاعاتتون بسیار پایه ای هست و فقط پابلیک کی و پرایوت کی شنیدید، ولی سیستم کاری اس اس ال رو به طور قطع میگم نمی دونید. لطفا یک فرم ساده بالا بیارید با اس اس ال سبز، یک تگ فرم اچ تی ام ال ساده هم بذارید. بنده یک متن داخلش میذارم، شما خروجی رو به من بدید. اوکی؟
مورد دیگه، کی صحبت ev یا dv یا ov کرد اصلا که الکی راجع بهش صحبت می فرمایید و صرفا شنیده هاتونو که اطلاعات راجع بهش ندارید یکجا به اشتراک می گذارید؟! کی راجع به این موارد صحبت کرد؟
بنده گفتم شما برای تست می تونید از لتس اینکریپت رایگان استفاده کنید تا ببینید امکان نداره! حالا اگر شما با لتس انکریپت تونستید، با بقیه هم می تونید چون استراکچر یکی هست... فرق در اینکریپشن هست فقط.
در انتها اگر کمی به زبان انگلیسی تسلط دارید مقاله زیر رو مطالعه بفرمایید. به اطلاعات شما بسیار می افزاید.
https://www.digicert.com/ssl/
خصوصا بخش How Does the SSL Certificate Create a
Secure Connection?
و اگر بازهم براتون سخته، پاراگراف آخر در بالای عکس.
Because encrypting and decrypting with private and public key takes a lot of processing power, they are only used during the SSL Handshake to create a symmetric session key. After the secure connection is made, the session key is used to encrypt all transmitted data.
انشالله روزی برسه اطلاعاتمونو درست کنیم و اطلاعات اشتباه منتشر نکنیم.
تستی که بنده گفتم نیز بسیار ساده هست، اگر هنوز معتقدید حرف بنده اشتباه هست، لینک ارسال بفرمایید از تستی که گفتم، شاید این کار اطلاعات من رو کامل کنه :) در صورت عدم تست شما من پاسخی به پاسخ شما نخواهم داشت چون مثل روز روشن است همه چیز برای آنان که اهل تفکر باشند.
موفق باشید،
با احترام.
hamid.soltani92
July 27th, 2018, 19:02
سلام،
خوبید شما؟
کی گفت میاد بک اند سایت رو میبینه و این حرفا؟! انشالله خدا کمکتون کنه!
فیشینگ ابیوز مشخصی هست. بنده هم همینجا عرض کردم شما اگر تونستید سایت بالا بیارید با اس اس ال سبز، ارور نات سیکیور موقع ثبت دیتا نده، بنده براتون لیست می فرستم شما خروجی رو به بنده بگید و حرفتون مورد قبوله. این حرف من برای اطلاعات ناکافی شما از علت به وجود آمدن اس اس ال هست... گفتم شاید تجربی انجام بدید و متوجه بشید که حرفتون به کل اشتباه هست. اطلاعاتتون بسیار پایه ای هست و فقط پابلیک کی و پرایوت کی شنیدید، ولی سیستم کاری اس اس ال رو به طور قطع میگم نمی دونید. لطفا یک فرم ساده بالا بیارید با اس اس ال سبز، یک تگ فرم اچ تی ام ال ساده هم بذارید. بنده یک متن داخلش میذارم، شما خروجی رو به من بدید. اوکی؟
مورد دیگه، کی صحبت ev یا dv یا ov کرد اصلا که الکی راجع بهش صحبت می فرمایید و صرفا شنیده هاتونو که اطلاعات راجع بهش ندارید یکجا به اشتراک می گذارید؟! کی راجع به این موارد صحبت کرد؟
بنده گفتم شما برای تست می تونید از لتس اینکریپت رایگان استفاده کنید تا ببینید امکان نداره! حالا اگر شما با لتس انکریپت تونستید، با بقیه هم می تونید چون استراکچر یکی هست... فرق در اینکریپشن هست فقط.
در انتها اگر کمی به زبان انگلیسی تسلط دارید مقاله زیر رو مطالعه بفرمایید. به اطلاعات شما بسیار می افزاید.
https://www.digicert.com/ssl/
خصوصا بخش how does the ssl certificate create a
secure connection?
و اگر بازهم براتون سخته، پاراگراف آخر در بالای عکس.
because encrypting and decrypting with private and public key takes a lot of processing power, they are only used during the ssl handshake to create a symmetric session key. After the secure connection is made, the session key is used to encrypt all transmitted data.
انشالله روزی برسه اطلاعاتمونو درست کنیم و اطلاعات اشتباه منتشر نکنیم.
تستی که بنده گفتم نیز بسیار ساده هست، اگر هنوز معتقدید حرف بنده اشتباه هست، لینک ارسال بفرمایید از تستی که گفتم، شاید این کار اطلاعات من رو کامل کنه :) در صورت عدم تست شما من پاسخی به پاسخ شما نخواهم داشت چون مثل روز روشن است همه چیز برای آنان که اهل تفکر باشند.
موفق باشید،
با احترام.
سلام.
شما حملات mitm رو با فیشینگ اشتباه گرفتید دوست عزیز.
Ringmoon
July 27th, 2018, 21:20
انشالله روزی برسه اطلاعاتمونو درست کنیم و اطلاعات اشتباه منتشر نکنیم.
با سلام
با این جمله کمی شاد شدیم :)
به نظرم اونی که باید اطلاعاتشو بالا ببره شما هستی یکم بیشتر در مورد ssl مطالعه کنید.
موفق باشید
taranoome
July 27th, 2018, 23:23
شما توضیح دادید گفتید اگر سایت با https بود یعنی درسته منم در جواب گفتم که یک https کاری نداره برای یک سایت بگیری
مردم عادی هم به سبز یا سیاه بودنش کاری ندارن که چپ و راست دارن تو همه جا جار میزنید با https باشه دیگه تمومه دوست عزیز
با تشکر از hoka (http://www.webhostingtalk.ir/member.php?u=12008)
نمونه هم گذاشتند
http://yon.ir/H0ocL