钓鱼邮件中的 URL 有哪些关键分析指标？

• 同形异义字/打字错误（typosquatting）：如 micr0soft、arnazon，或 Unicode 伪装（punycode xn--）。
• 品牌冒用子域：login.paypa1-security.com 看似品牌实为冒用父域。
• 可疑 TLD：新晋或高风险后缀（.tk/.ml/.ru 等）需加权。

关注 重定向链（多个 http/https 跳转、短链 t.cn/bit.ly 隐藏终点）、混合大小写与 URL 编码混淆（%2e、@ 分隔用户info）、过长的追踪参数。终点域名应与品牌官方域一致，否则高危。

钓鱼常使用 http:// 而非 https://，或证书为新签发、与品牌无关。可结合证书透明度（CT）日志查询该域名是否近期突击申请了仿冒证书。

对可疑 URL 用沙箱（ detonation）或威胁情报（VirusTotal、abuse.ch URLhaus、PhishTank）比对，查询 Passive DNS 看历史解析与关联。人工研判时务必在隔离环境点击，切勿直接在生产浏览器打开。