Jakkan
Участник клуба
- Регистрация
- 12 Авг 2020
- Сообщения
- 917
- Реакции
- 30
Еще в 2021 году, изучая репорты с HackerOne, нашел интересное применение некоторым символам в мессенджере Telegram. Объясню суть сразу на примере:
Предположим, что вы злоумышленник, у которого есть 2 фишинговых домена:
Так вот, с помощью некоторых символом действительно можно визуально объединить 2 разных домена, хотя в самом сообщении они будут кликабельны отдельно друг от друга. Для этого достаточно перейти сюда и выбрать один из понравившихся:
Я использую Web-версию Telegram для теста, но возможно все это будет работать и с приложением Telegram для ПК или телефона.
Вписываем первый домен web.tel, переходим по одной из ссылок и копируем понравившийся символ, вставляем его сразу после первого домена через Ctrl + V, дописываем второй домен egram.org, отправляем, получаем результат. А вот как это выглядит:
Кусок HTML с этим сообщением:
Визуально это просто домен третьего уровня, на практике это 2 разных домена второго уровня, при клике по левой части сообщения пользователь будет перенаправлен на первый фишинговый домен. При клике по правой части сообщения - на второй. С приложения Telegram для телефона все работает аналогично, отображается одинаково.
Нужно ли это? Вопрос риторический. Забавно ли это? Да.
P.S. И да, это работает не только в Телеге
Предположим, что вы злоумышленник, у которого есть 2 фишинговых домена:
web.tel
egram.org
Так вот, с помощью некоторых символом действительно можно визуально объединить 2 разных домена, хотя в самом сообщении они будут кликабельны отдельно друг от друга. Для этого достаточно перейти сюда и выбрать один из понравившихся:
https://unicode-table.com/en/2066/
https://unicode-table.com/en/2067/
https://unicode-table.com/en/2068/
https://unicode-table.com/en/2069/
https://unicode-table.com/en/180E/
Я использую Web-версию Telegram для теста, но возможно все это будет работать и с приложением Telegram для ПК или телефона.
Вписываем первый домен web.tel, переходим по одной из ссылок и копируем понравившийся символ, вставляем его сразу после первого домена через Ctrl + V, дописываем второй домен egram.org, отправляем, получаем результат. А вот как это выглядит:
![dhen6MU.jpg](https://i.imgur.com/dhen6MU.jpg)
Кусок HTML с этим сообщением:
![5LaxDEZ.jpg](https://i.imgur.com/5LaxDEZ.jpg)
Визуально это просто домен третьего уровня, на практике это 2 разных домена второго уровня, при клике по левой части сообщения пользователь будет перенаправлен на первый фишинговый домен. При клике по правой части сообщения - на второй. С приложения Telegram для телефона все работает аналогично, отображается одинаково.
Нужно ли это? Вопрос риторический. Забавно ли это? Да.
P.S. И да, это работает не только в Телеге