# URL 安全检查器

通过深度结构分析检测 URL 中的钓鱼和欺诈信号——punycode/IDN 同形异义攻击（拉丁/西里尔混合）、嵌入凭据（user:pass@host 把戏）、高风险 TLD、双重编码与控制字符走私、子域品牌欺骗、数字/IP 主机混淆。仅静态分析，无网络。补充 URL Validator（它做基础协议/IP 检查）。

> 标准页面: https://elysiatools.com/zh/tools/url-safety-checker

- **分类:** Security

- **关键词:** URL, 安全, 钓鱼, 欺诈, punycode, 同形异义, IDN, 可疑链接

## 概述

本工具通过对单个 URL 的结构做**深度钓鱼/欺诈检测**。它有意与 **URL Validator** 互补：后者检查基础协议/IP/XSS 信号，而本工具聚焦攻击者用来让恶意 URL *看起来*合法的欺骗技术。

**检查的 6 个维度：**
- **IDN 同形异义（混合字符集）** 🔴——混合字符集的国际化域名（punycode `xn--`）。这就是"аpple.com"攻击：西里尔"а"看起来和拉丁"a"一模一样，但解析到完全不同的域名。
- **嵌入凭据（userinfo）** 🔴——`user:pass@host` 把戏：`https://apple.com@evil.com` 把品牌放在 "@" 前，但真实目的地是 `evil.com`。浏览器隐藏 userinfo，极具欺骗性。
- **高风险 TLD** 🟠——常被滥用于垃圾邮件/诈骗的 TLD（廉价/免费注册：`.tk .xyz .top .click` 等）。非天生恶意，但强警示信号。
- **编码异常** 🟠/🟡——双重百分号编码（`%2561`）、编码的协议序列、C0 控制字符——都用于绕过 WAF 或迷惑读者。
- **子域欺骗** 🟠——品牌名放在子域位置（`paypal.security-update.com`）；可注册域是 `security-update.com`，与 PayPal 无关。
- **数字/IP 混淆** 🟠——裸 IP 主机（`192.168.1.1`）或混淆的数字形式（十六进制/十进制），用于隐藏目的地。

**风险评分。** 每项 finding 累加到 0-100 分（critical 35、high 20、medium 10、low 4），映射到 Low/Medium/High/Critical。

**局限。** 这是**纯静态结构分析**——不发起网络请求，因此无法检测新注册的恶意域名、被攻陷的合法站点或重定向链。它**不能替代** Google Safe Browsing 等实时威胁情报。"Low"评级只表示未发现结构性钓鱼信号，不代表目的地安全。

## 输入项

- **URL** (text): Paste a URL to check, e.g. https://аpple.com/ or https://paypal.security-update.tk/

## 适用场景

- 收到来源不明的电子邮件或短信，需要确认其中包含的链接是否伪造了知名品牌。
- 在安全审计或日志分析中，需要批量静态筛查可疑的恶意 URL 结构。
- 怀疑某个网址使用了混淆字符（如西里尔字母代替拉丁字母）进行同形异义词钓鱼攻击。

## 工作原理

- 用户输入需要检测的完整 URL 链接。
- 工具在本地对 URL 进行静态结构解析，无需发起任何网络请求，确保查询隐私。
- 算法从 IDN 混合字符、嵌入凭据、高风险 TLD、编码异常、子域欺骗和 IP 混淆六个维度进行扫描。
- 系统根据检测到的异常特征累加风险评分，并输出直观的风险等级与详细的结构分析报告。

## 使用案例

- 快速识别邮件中伪装成官方域名的 Punycode 钓鱼链接。
- 分析可疑的短链接还原后是否存在嵌入式凭据或高风险 TLD 欺诈。
- 辅助安全运营人员在不触发网络请求的前提下静态研判可疑威胁情报。

## 常见问题

### 这个工具会访问我输入的网址吗？

不会。本工具仅进行静态结构分析，不发起任何网络请求，因此无法检测网站的实际内容或重定向链。

### 什么是 IDN 同形异义字攻击？

攻击者使用外观极相似的其他字符集（如西里尔字母）替换域名中的英文字母，诱骗用户访问恶意网站。

### 为什么带有“@”符号的网址会被标记为高风险？

格式如 brand.com@evil.com 的 URL 利用了浏览器隐藏用户凭据的特性，真实访问的目的地是 @ 后面的域名。

### 评级为“Low（低风险）”是否意味着该网址绝对安全？

不是。低风险仅表示未发现结构性钓鱼特征，无法保证该网站未被黑客攻陷或不包含其他恶意内容。

### 它与常规的 URL 验证工具有什么区别？

常规验证工具主要检查协议和格式正确性，而本工具专注于检测欺诈、钓鱼和规避安全检测的结构性伪装技术。

## 相关工具

- [安全响应头检查器](https://elysiatools.com/zh/tools/security-headers-checker): 审计 HTTP 响应头的安全合规性——解析你粘贴的原始头（无网络），按 OWASP 安全头集做值级检查：HSTS max-age、CSP unsafe-inline/eval、X-Content-Type-Options、Referrer-Policy、Permissions-Policy、COOP/COEP/CORP 等。输出字母评级（A+ 到 F）及逐项 Finding 与可复制的修复建议。
- [AGEX 口令强度检查器](https://elysiatools.com/zh/tools/agex-passphrase-strength-checker): 评估 AGEX 文件包口令强度，并推荐最适合的保护档位
- [环境变量文件密钥轮换规划器](https://elysiatools.com/zh/tools/env-file-secret-rotation-planner): 粘贴 .env 文件，生成分阶段的密钥轮换计划。识别数据库 URL、API 密钥、认证令牌、私钥、云凭证、支付密钥与加密密钥，按暴露程度与使用时长评分，并排入 4 周轮换时间线，附双密钥清单与生成的 .env.example。可选上次轮换日期与可配置周期（30/90/180/365 天）驱动合规评分。
- [无障碍合规检测器](https://elysiatools.com/zh/tools/accessibility-checker): 检测 HTML、网页或设计稿图片中的常见 WCAG 2.1 问题，并给出可直接修复的建议
- [AI 域名创意生成器](https://elysiatools.com/zh/tools/ai-domain-name-idea-generator): 输入品牌关键词,让 AI 生成最多 10 个创意域名,自动用 DNS 粗筛 + RDAP 复验可用性,过滤掉已注册的。面向创业者、独立开发者、品牌策划。
- [色彩视觉无障碍检查器](https://elysiatools.com/zh/tools/color-vision-accessibility-checker): 计算 WCAG 对比度，模拟主要色觉缺陷，并可对 UI 截图中的低对比区域做标记。
- [量纲分析单位约分导师](https://elysiatools.com/zh/tools/dimensional-analysis-unit-cancellation-tutor): 将单位换算拆成逐步 factor-label 约分：显示分子/分母单位如何消去，自动识别倒置换算因子，并对维度不一致与学生数值答案给出教学反馈。
- [Dockerfile 检查器（Hadolint 规则集）](https://elysiatools.com/zh/tools/dockerfile-linter): 粘贴 Dockerfile，离线执行 Hadolint 风格的静态分析（无需 Docker 守护进程）：基础镜像标签、USER root、sudo、apt/apk/yum/dnf 包管理卫生、npm/pip/yarn 版本锁定、ADD vs COPY、层缓存合并、管道 pipefail、EXPOSE 端口、ENV 敏感信息等 30+ 条规则，按 critical/warning/info 分级并给出行号、原因与修复示例，附带逐行标注的源码视图。

## 示例

- [语音学习与安全音频样例](https://elysiatools.com/zh/samples/audio-learning-safety-samples): 用于发音对比、听写预检、警报降质和隐私变声工具的确定性合成 WAV 输入。
- [URL别名示例](https://elysiatools.com/zh/samples/slug): 有效和无效的URL别名示例集合（小写字母、数字、连字符，可选下划线）
- [URL查询分析器示例](https://elysiatools.com/zh/samples/url-with-query-samples): 全面的URL查询参数集合，用于测试URL解析、编码验证和参数提取
- [Android Java 图像处理示例](https://elysiatools.com/zh/samples/android-image-processing-java): Android Java 图像处理示例，包括图像读取保存、缩放和格式转换

## 相关内容

- [认证、密码与令牌安全工具](https://elysiatools.com/zh/hubs/auth-token-security): 在同一个安全专题中完成密码生成与校验、JWT 检查、密码哈希方案对比，以及认证相关的基础安全审查。
- [文档加密、脱敏与字段安全工具](https://elysiatools.com/zh/hubs/document-field-security-workflows): 把 PDF 密码保护、权限控制、加密 PDF 转换、CSV/XLSX 字段加密以及文档脱敏工具集中到一个安全工作流专题里。
- [标识符、配置与输入校验工具](https://elysiatools.com/zh/hubs/validation-validate): 在一个专题里比较邮箱、手机号、IP、日期、Cron、条码、支付信息、env 文件等真实输入的校验工具。
- [标识符、地址与编码格式校验工具](https://elysiatools.com/zh/hubs/validation-format): 围绕标识符、地址、账号与编码格式校验整理的一组工具。