1. 淘宝钓鱼
温铭
金山网络
weibo:@minickz

2. 基本概念
• 钓鱼
• 钓鱼种类：六合彩、淘宝、彩票、微博、
中奖、机票、话费、网游交易…上百种
• Domain、host、URL
• 二级域名

3. 怎么被钓鱼？案例1
• 在淘宝/赶集逛，发现商品
• 通过旺旺/QQ联系卖家
• 旺旺卖家要买家加经理的QQ QQ
QQ砍价
• QQ中卖家发给买家 商品/赠送商品/运费保
险.. 链接（钓鱼网站）
• 支付宝正在维护，使用“网银”支付
“ ”
• 淘宝、支付宝支付密码、银行帐号被盗

4. 怎么被钓鱼？案例2
• 在淘宝/赶集逛，发现商品
• 通过旺旺/QQ联系卖家
• 旺旺卖家要买家加经理的QQ砍价
• QQ中卖家发给买家 商品/赠送商品/运费保
险.. 链接（钓鱼网站）
• 跳转到支付宝，进行即时支付交易
• 悲剧…

5. 怎么被钓鱼？案例3
• 在淘宝逛，发现商品
• 通过旺旺联系卖家
• 卖家通过旺旺发送“绿盾”链接
“ ”
• 买家放心打开
• 支付宝正在维护，使用“网银”支付
“ ”
• 悲剧…

6. 怎么被钓鱼？案例4
• 在淘宝逛，发现商品
• 通过旺旺联系卖家
• 拍下使用支付宝担保交易支付
• 卖家电话联系说有赠送或者运费保险，要
求加QQ
• QQ发送钓鱼链接
• …

7. 疑问
• 为什么有的要加QQ，有的直接在旺旺里面
发送钓鱼网址？
• 为什么随便输入用户名和密码不能登陆钓
鱼网站？
• 为什么有的商品是1块钱？
• 为什么盗取支付宝支付密码的情况少了？
• 为什么使用第三方支付平台？
• 为什么使用支付宝即时交易？

8. 社会工程学
• 卖家熟悉买家的心理和弱点：占便宜、对
URL不熟悉、对绿盾放松警惕
• 遇到熟悉的东西会放松警惕：钓鱼商品页
面、支付页面与淘宝一模一样；听说过1块
钱运费保险，只有1块钱，无所谓
• 热点：Iphone、mac book、单反、羽绒服、
保险..

9. 如何检测？
• 对钓鱼流程分析后，提取特征进行判断
旺旺�QQ 钓鱼商品页�淘宝登录�确认商品
QQ
QQ�
页�支付页�支付宝失效页�第三方支付�网
银
• 淘宝钓鱼特点：
� URL、网页内容类似淘宝
� 失效快
� 对抗
� 环节多，取证难
� 用户损失大

10. 淘宝钓鱼检测
• 检测手段尽可能前置
• 淘宝钓鱼的域名集中在二级域名中，com的
很少
• 淘宝钓鱼URL设计，为了迷惑用户而暴露自
己
• 关注整个欺诈流程，特别是支付阶段

11. 技术对抗：cookie
• 普遍使用
• 有效对抗安全软件的服务端检测
• 需要客户端加强策略

12. 技术对抗：过旺
• http://life.alipay.com/index.php?m=redirect&
url=www.mickaa.com&key=41c3a29dd3094d
737fa14f641169fcaf&src=life_shopdetail_344
34
• http://member1.taobao.com/member/loginB
yIm.do?errurl=http://www.alimama.net/go.ht
m?url=%68ttp:%2f%2fmember.taobao.com-
ao.aucm.in

13. 技术对抗：加密
• 为什么淘宝钓鱼不用加密这种方法？

14. 非技术对抗
• 分工明确：骗卖家的骗子、拉单、做后台
的程序猿、打通各个第三方支付平台、洗
钱
• 持续运营：URL规则在没有优化的情况下，
拦截率持续下降
• 唯快不破：骗完就撤页面，失效快，取证
难
• 隔离各个环节：维权难，查找源头难

15. 未来
• 点对点钓鱼：用户名、IP限制
• 拍拍等其他电商钓鱼
• 卖家被骗的保护
• 用户反钓鱼意识的提升
• 加强与第三方支付的合作

16. 怎么不被钓鱼？靠自己
• 只用旺旺，加qq的都是骗子
• QQ发送的网址中，没有绿盾的不要点击
• 确认页面中，不能准确显示收货地址的都
是钓鱼
• 不向任何人透漏动态密码
• 不贪便宜

17. 怎么不被钓鱼？靠别人
• 使用支付宝担保交易
• 开通支付宝数字证书和手机动态口令
• 开通银行数字证书和手机动态口令
• 安全软件