文本和日常工具·二维码和条形码工具包
二维码网络钓鱼（quishing）：代码可以隐藏什么以及如何检查
· 为什么它很重要
二维码 安全 验证
解释了代码贴纸和虚假支付诈骗的运作方式、二维码可以隐藏什么、不能隐藏什么，以及如何在打开目标之前读取目标 - 对于扫描仪和出版商都很有用。
停车计时器贴纸 — 骗局如何通过用指向其他地方的代码覆盖合法代码来进行诈骗
贴在合法停车或支付代码上的贴纸会改变有效负载，但不会改变周围的标志。当扫描器信任物理上下文并遵循替换目标而不检查它时，攻击就会成功。
物理检查是安全检查的一部分，因为在符号被更改时编码的字节可以完全有效。寻找不匹配的层压板、边缘、不同的打印质量或覆盖而不是与原件对齐的正方形。工作人员应通过可信渠道报告位置。反复扫描可疑贴纸进行诊断可能会将更多人发送到攻击者的站点，而无需确定是谁安装了该站点。
二维码存储可解码数据，但摄像头预览和安全提示因应用程序而异
矩阵不是加密的：解码器可以恢复其文本。但是，相机应用程序在预览目的地的清晰度以及是否自动打开目的地方面有所不同，因此工作人员指南应描述受支持设备上的控件。
解码器可以显示文本，但人们在执行操作之前可能无法看到所有文本。某些相机界面会在加载后截断长 URL、隐藏路径或强调页面标题。应为受支持的设备群编写安全指南，并且绝不应承诺提供通用预览版。如果可能，请在代码旁边以普通印刷文本提供预期的域，以便用户进行独立比较。
它可以掩盖什么 - 缩短的链接、相似的域名和在页面加载之前不会显示任何内容的重定向
短链接和重定向链使第一个解码的地址信息量较少，而相似的域则利用快速视觉检查。只有当人们停下来仔细比较注册的域名时，可读的预览才会有帮助。
缩短器通过用缩短器的主机替换目标主机来删除有用的上下文。然后，重定向可以在登陆之前穿过多个域。该架构并不是自动恶意的，但它会阻止初始预览确认最终站点。相似的域保留了更多上下文，但依赖于快速读取错误。当发布者直接使用简洁、可识别的域名时，这两个问题都会减少。
人们扫描的习惯 — 预览 URL、不信任缩短程序、检查贴纸，并且在未确认域名的情况下切勿通过扫描输入付款详细信息
在输入凭据或付款详细信息之前，请检查预览，避免使用不明原因的缩短剂，检查是否有重叠的贴纸，并通过独立路线确认目的地。二维码扫描不应降低应用于电子邮件链接的标准。
支付和登录应该比休闲内容有更严格的规则。扫描后，将注册域名与可信声明进行比较，或浏览组织的正常应用程序。当密码管理器拒绝在相似的主机上填写凭据时，它们可以提供另一个信号。 QR 是一种输入方法，不能免除对电子邮件或消息中的链接进行检查。
人们发布的习惯 - 在您自己的域上编码简单、可读的 URL，以便预览让人放心而不是困惑
发布商可以通过在受众已识别的域上编码简洁的 HTTPS 地址来提供帮助。 ToolAcre 生成所提供的确切文本，并且没有内置重定向，因此预览可以显示该直接地址。
发布者应存档确切的目的地并定期检查物理标志。直接 ToolAcre 代码没有生成器添加的隐藏重定向，并且 URL 生成器显示正在编码的有效负载。尽管如此，在不改变矩阵的情况下，受损的目的地也可能变得有害。监控站点，使用 HTTPS 并使预期主机在永久或支付相关代码旁边可读。
工作示例 - 使用相机预览解码代码，发现相似的域，并为办公室布告栏生成干净的替代方案
创建两个域名相差一个字符的无害代码，然后使用支持的手机预览来比较它们而无需打开。本课程是对确切主机的视觉验证；这并不是说每个摄像头都会发出相同的警告。
用于训练，生成两个无害的代码，其主机有一个字符不同，并让工作人员预览而不是打开它们。要求参与者识别方案和注册域名，然后揭示差异。使练习离线或在受控测试域中进行。 ToolAcre 提供精确的静态有效负载，而教训是比较习惯 - 并不是特定的相机会在同一位置显示每个 URL 组件。
工作示例：检查可用的预览并比较确切的目标字符串
本文不分析移动恶意软件、应用商店滥用或设备管理策略。这些需要特定于平台的控制和当前威胁情报，超出生成器的实施和存储库测试。
恶意软件、移动设备管理和应用程序商店滥用需要超出此生成器的控制。 QR 可能会导致下载，但分析该文件或执行安装策略是在存储库之外。保持范围明确，这样成功的 URL 预览练习就不会呈现为全面的移动防御。通过组织既定的安全流程和针对受影响移动设备的当前平台特定指南升级可疑代码。
要点 — 本地生成的静态代码，对可读 URL 进行编码，是出版商的一半防御，而 QR 和条形码工具包正是生成这种代码
直接静态有效负载只是发布者的一半防御。将可识别的 URL 和防篡改标牌与扫描习惯相结合，在任何敏感操作之前检查目的地。
出版商的防御性贡献是消除不必要的歧义：直接目的地、受控域、可见的预期主机和维护的标牌。扫描仪的作用是在采取行动之前进行检查。双方都不能依赖纠错或本地生成来建立信任；这些功能准确地保存和创建选定的有效负载，包括发布者故意或错误提供的有害负载。