क्या आप अपने IT विभाग को नाराज़ करना चाहते हैं? क्या कोई लिंक पर्याप्त रूप से दुर्भावनापूर्ण नहीं दिख रहा?

 (phishyurl.com)
1 पॉइंट द्वारा GN⁺ 2025-09-19 | 1 टिप्पणियां | WhatsApp पर शेयर करें
  • यह टूल किसी भी URL को दुर्भावनापूर्ण दिखने वाला बनाने की सुविधा देता है
  • TinyURL के विपरीत, यह लिंक को छोटा करने के बजाय उसे और ज़्यादा संदिग्ध रूप देता है
  • डाला गया लिंक वास्तव में web redirect के ज़रिए मूल पते पर ही ले जाता है
  • बनाया गया phishy लिंक केवल दिखने में असुरक्षित लगता है, कोई अलग से दुर्भावनापूर्ण गतिविधि नहीं करता
  • उपयोगकर्ता इनपुट बॉक्स में लिंक डालकर बटन दबाए तो उसे तुरंत एक "खतरनाक दिखने वाला" लिंक मिल जाता है

परिचय और मुख्य विशेषताएँ

यह टूल ऐसा साइट है जो उपयोगकर्ता द्वारा डाला गया वेबसाइट पता लेकर उसे ऐसे रूप में बदल देता है कि वह मानो phishing लिंक की तरह संदिग्ध लगे

  • इसका तरीका प्रसिद्ध लिंक-परिवर्तन सेवा TinyURL जैसा है, लेकिन नतीजे में मिलने वाला लिंक छोटा होने के बजाय अधिक खतरनाक दिखता है
  • इसका सिद्धांत साधारण redirect है, इसलिए नतीजे वाले लिंक पर क्लिक करने पर भी वही मूल पता खुलता है जो डाला गया था
  • दिए गए इनपुट बॉक्स में लिंक डालकर बटन दबाते ही बेचैनी पैदा करने वाला दृश्यात्मक phishing लिंक तुरंत मिल जाता है
  • बनाया गया लिंक वास्तव में malware शामिल नहीं करता और केवल दृश्य रूप से संदिग्ध दिखता है

उपयोग के मामले और सावधानियाँ

  • यह टूल स्वयं लिंक के स्तर पर सुरक्षित है, लेकिन किसी कंपनी या संगठन के भीतर इसका उपयोग करने पर IT विभाग में भ्रम पैदा हो सकता है
  • phishing response training, social engineering test आदि में यह परखने के लिए इस्तेमाल किया जा सकता है कि लिंक का बाहरी रूप भरोसे को कितना प्रभावित करता है
  • कंपनी की security policy या नियमों के अनुसार वास्तविक उपयोग से पहले उचित अनुमति है या नहीं, इसकी पुष्टि करना आवश्यक है

संबंधित पढ़ाई

1 टिप्पणियां

 
GN⁺ 2025-09-19
Hacker News राय

  • हा! मेरे मन में भी कुछ ऐसा ही आया था। हमारी कंपनी में भी कुछ ऐसा है जो असली लिंक को भी मालिशियस लिंक जैसा दिखाता है। शायद इसे Microsoft Safelink कहते हैं। इसका मकसद Outlook inbox के हर लिंक को छिपा देना है, ताकि क्लिक करते समय पता ही न चले कि यह क्या है। आखिर में वही मज़ाक किया जाता है कि Microsoft खरीदने पर किसी की नौकरी नहीं जाती

    • कुछ महीने पहले Microsoft servers डाउन हो गए थे या बहुत धीमे चल रहे थे, और उस समय ईमेल के सारे लिंक काम करना बंद कर गए थे
    • यह बात सच में समझ आती है। ProofPoint भी इसी तरह लिंक फ़िल्टर करता है

  • यह भी बुरा नहीं है
    https://carnalflicks.online/var/lib/systemd/coredump/logging...

    • सच कहूँ तो मैं कुछ ऐसा होने की उम्मीद कर रहा था[1]। शायद HN पर ऐसी चीज़ें अच्छी तरह दिखाई नहीं देतीं
      1: https://pc-helper.xyz/scanner-snatcher/session-snatcher/cred...
    • पता नहीं क्यों, लेकिन पेज के सबसे ऊपर रहते हुए ऐसे लिंक पर क्लिक करना इतना संतोषजनक क्यों लगता है
    • किसी वजह से यह संदिग्ध महसूस होता है, NoScript मुझे XSS warning दिखाता है <_<

  • यह तो infinite loop चलाने के लिए अच्छा है
    https://gonephishing.me/shell-jacker/shell-jacker/worm_launc...

  • यह पूरी बातचीत मुझे एक कंपनी में झेला हुआ एक हास्यास्पद मामला याद दिलाती है। कंपनी में कर्मचारियों को ज़ोर देकर कहा जाता था कि किसी लिंक पर mouse hover करके देखें कि भेजने वाला आधिकारिक website का लिंक दे रहा है या नहीं। लेकिन लोग फिर भी phishing links में फँसते रहे, इसलिए Trend Micro appliance लगा दिया गया जो ईमेल स्कैन करता था और सारे लिंक को उनकी URL scanning service के जरिए rewrite कर देता था। नतीजा यह हुआ कि हर लिंक “https://ca-1234.check.trendmicro.com/?url=...;” जैसा दिखने लगा। अब कंपनी में ईमेल के भीतर कोई भी लिंक क्लिक ही नहीं किया जा सकता था। ऊपर से URL rewriting की वजह से काफी लिंक काम भी नहीं करते थे, इसलिए सुबह outage alert मिलने पर laptop खोलकर Pagerduty या Sentry में manually login करना पड़ता था और फिर ईमेल से incident details दोबारा ढूँढनी पड़ती थीं

    • मेरे साथ इसका उल्टा लेकिन मज़ेदार अनुभव हुआ था। जब मैं पहले Global MegaCorp में काम करता था, तब कंपनी कभी-कभी phishing email training के लिए जानबूझकर phishing emails भेजती थी, और अगर आप लिंक क्लिक कर देते तो उसका record हो जाता था, और दो-तीन बार फँसने पर फिर से training लेनी पड़ती थी। आखिरकार सबने ईमेल में लिंक क्लिक न करना सीख लिया। असरदार था। लेकिन फिर annual survey के लिए सब कर्मचारियों को ईमेल भेजा गया और किसी ने भी लिंक क्लिक नहीं किया, तो अलग से एक follow-up mail भेजनी पड़ी कि "यह survey email असली है, इसे क्लिक कर सकते हैं"
    • हाल ही में मुझे मेरे personal AWS account के लिए "no-reply@tax-and-invoicing.us-east-1.amazonaws.com" से ईमेल मिला कि आगे से invoices इसी पते से आएँगे, इसलिए automated invoice processing rules को इस पते पर बदल दें। यह सच में बहुत बेवकूफी भरी बात थी। अगर मुझे ऐसे sender address से मेल दिखता, तो मैं भी तुरंत इसे spam या phishing समझ लेता। आखिरकार AWS ने यह policy वापस ले ली। आम तौर पर ईमेल "no-reply-aws@amazon.com" या "aws-marketing-email-replies@amazon.com" जैसे ज़्यादा आधिकारिक दिखने वाले पते से आते हैं

  • आप चाहें तो अनिवार्य compliance emails को phishing attempt के रूप में report कर सकते हैं। मैंने कई बड़ी कंपनियों में काम किया है, और annual IT security acknowledgement emails अक्सर harmful emails जैसी दिखती हैं: अजीब formatting, संदिग्ध external url, urgent action की मांग, compliance न करने पर सज़ा की चेतावनी वगैरह। training पर इतना पैसा खर्च करने के बाद भी आखिरकार users को खतरों के प्रति सुन्न बना दिया जाता है

    • अगर email headers में "X-PHISH" हो, तो उसके लिए rule condition जोड़ना भी अच्छा हो सकता है

  • मेरा मानना है कि website तक ले जाने के लिए URL को और भी ज़्यादा मालिशियस दिखना चाहिए
    https://pc-helper.xyz/root-exploit/virus_loader_tool.exe?id=...

  • सच में मालिशियस तरीका एक तरह की reverse psychology इस्तेमाल करना होगा

  1. ऐसी site बनाइए
  2. लोगों को bank, social media, email जैसी महत्वपूर्ण sites के URL डालकर test करने दीजिए
  3. थोड़ी देर तक इसे सामान्य रूप से काम करने दीजिए, फिर बाद में visitors को चुपचाप संबंधित phishing sites पर redirect कर दीजिए
  4. users पहले ही "साफ़ तौर पर नकली" warnings को नज़रअंदाज़ करने के आदी हो चुके होंगे, इसलिए असली संकट की स्थिति में उनकी सतर्कता कम हो सकती है

  • मैंने अपने domain name से test किया,
    https://cheap-bitcoin.online domain पर मुझे एक लिंक मिला। जब मैंने उस URL को VirusTotal पर submit किया, तो उसने दिखाया कि एक जगह इसे malware के रूप में classify किया गया है। यह इतना मज़ेदार था कि सच में हँसी आ गई

  • बढ़िया! अच्छा होगा अगर generated links में कहीं 'safelinks.protection.outlook' भी शामिल हो सके

  • मैंने "very-secure-no-viruses.email" domain register कर रखा है और उसे disposable email की तरह इस्तेमाल करता हूँ। जानबूझकर इसे जितना हो सके उतना संदिग्ध सुनाई देने वाला बनाया था। लेकिन इसी वजह से support teams के साथ बातचीत अक्सर उलझ जाती है

    • मैं firstname@lastname.email address इस्तेमाल करता हूँ, और लोग बार-बार कहते हैं कि यह गलत है, क्योंकि यह email.com नहीं है