温柔的陷阱——钓鱼定位：当链接变成鱼钩

温柔的陷阱——钓鱼定位：当链接变成鱼钩

摘要： 最高明的黑客不是破解技术，而是欺骗人性。本文将详细科普钓鱼定位的全过程，演示黑客如何通过一条链接，让你主动交出位置信息。

一、 什么是钓鱼定位？

钓鱼定位是一种典型的社交工程攻击。黑客不再去破解卫星信号或入侵基站，而是制作一个看似普通的网页或发送一条诱人的短信，诱导用户点击。这个网页内嵌了地理位置获取代码，一旦用户授权，黑客的后台就会瞬间记录下精确的经纬度。

二、 黑客搭建钓鱼系统的步骤

通过一次完整的实验，我们可以还原黑客的作案流程：

• 搭建服务器：黑客首先需要一台具有公网IP的服务器，用来托管钓鱼页面和接收数据。
• 生成载荷：黑客利用HTML5的Geolocation API编写网页代码。当用户访问时，浏览器会弹出“某某网站请求获取您的位置”的提示。
• 伪装与分发：为了让用户点击，黑客会将这个链接伪装成“七夕活动抽奖”、“新冠轨迹查询”或“同学聚会照片”，甚至生成二维码，通过短信、邮件或抖音私信发送。
• 数据接收：当受害者点击“允许”后，黑客的控制后台会立即显示经纬度、设备型号、操作系统版本等信息。黑客可以直接在地图上标注出受害者的精确位置。
  
  

三、 实战中的变种与绕过

如果用户点击“不允许”怎么办？高明的黑客会设置多级诱导。例如，第一次请求被拒后，页面会显示“功能受限，请开启定位以获得更好的抽奖概率”，再次弹出请求。对于安装了防火墙的用户，黑客获取的位置可能会漂移，但依然能获取设备信息。甚至有些黑客会结合CVE漏洞，在用户未授权的情况下通过辅助功能权限强行获取定位。