我以为99tk图库app只是随便看看，结果差点点进钓鱼页：域名、证书、签名先核对
为什么会被伪装得这么像？ 钓鱼页面往往利用熟悉的界面、相似域名、以及模糊的社交工程来诱导用户。攻击者可以：
- 用近似域名（比如把字母替换、添加短横线或子域名）；
- 使用合法但被滥用的SSL证书，让页面看起来“有锁”；
- 带有官方样式的图片和文案增加可信度。
遇到可疑链接或下载页，先做这几项核对
1) 看清完整域名
- 手机上长按或点住所见地址栏，查看完整URL。不要只看页面显示的名字或标题。
- 注意子域名和拼写替换：official.example.com 与 example.official.com 是不同的；也要警惕类似字符（如数字1替代字母l）。
- 检查是否有 xn-- 前缀（Punycode），那通常代表国际化域名，可能被用来混淆视觉识别。
2) 检查证书（HTTPS）
- 桌面浏览器：点地址栏的锁形图标 -> 查看证书详情。看颁发机构、有效期、主题名前缀（Common Name / SAN）是否和你访问的域名一致。
- 手机浏览器也能查看证书信息（不同浏览器位置不同），或把URL复制到证书检查网站如 crt.sh 查证书历史。
- 别只看“有锁”就放松警惕：攻击者可用合法证书，但域名本身可能是仿造的。
3) 验证来源与签名（安装包）
- Android：尽量从Google Play下载。若从第三方获取APK，先核验签名：
- 使用 apksigner 或 keytool 查看签名信息（apksigner verify --print-certs app.apk）；
- 在知名站点（APKMirror 等）下载，站点会替你核验签名一致性；
- 检查安装时的权限请求是否合理，过度权限是一大警讯。
- iOS：优先使用App Store。企业签名或侧载的应用，查看描述文件和开发者证书，警惕“未受信任的企业级开发者”提示。
- 桌面软件：查看发布者签名、官方发布页、校验和（MD5/SHA256）是否匹配官方提供的值。
4) 参考第三方信息
- 在 VirusTotal、Google Safe Browsing、Web of Trust 等处查询URL或文件。
- 搜索域名的whois信息和注册时间：陌生域名刚注册很可疑。
- 在社交平台或社区查找其他用户的评价和警告。
发现可疑怎么办
- 立即关掉页面，不输入任何账号或验证码；
- 如果已经输入信息，尽快修改相关密码并开启双重认证；
- 对于设备，运行可信的安全软件扫描，必要时恢复备份或重装系统；
- 向官方渠道或网站管理员报告钓鱼页面，并向你的邮件/浏览器提供商举报该URL。
快速核验清单（上手就用）
- 查看完整URL，确认主域名；
- 点锁形图标，核对证书颁发者与有效期；
- 不从未知来源安装应用；若必须，核验签名或校验和；
- 使用官方商店和官网链接，避开来历不明的跳转；
- 开启双重认证与密码管理器。
