Гомографическая атака (IDN Homograph Attack) использует визуально схожие символы из разных алфавитов, чтобы подменить идентификаторы пользователей — чаще всего email-адреса.
Суть проста: уязвимая система может считать admin@example.com и аdmin@example.com (кириллическая «а» вместо латинской) одним и тем же адресом, а мы используем это, чтобы обойти регистрацию, сброс пароля и даже 2FA.
👉 Пример простой атаки:
Нам потребуются Burp Suite, Burp Collaborator и генератор Punycode.
1️⃣ Регистрируем аккаунт с использованием обычного email
security@gmail.com.bcrkly6yl8ke552nzjt7jtu52w8nwdk2.oastify.com
Проверяем, что почта пришла, логинимся и выходим.
2️⃣ Повторно регистрируемся, но с Punycode
Через Burp перехватываем POST-запрос регистрации. Заменяем
a на à или кириллическую а (в зависимости от цели):security@gmàil.com.bcrkly6yl8ke552nzjt7jtu52w8nwdk2.oastify.com
🎯 Если сервер отвечает:
Email already exists — значит, произошла коллизия (он считает адрес одинаковым).3️⃣ Переходим к сбросу пароля
▪️В форме сброса указываем Punycode-адрес.
▪️Отправляем через Burp (иначе браузер перекодирует URL).
▪️Ждём отклика в Burp Collaborator: если прилетает SMTP callback со ссылкой на сброс — атака сработала.
4️⃣ Меняем пароль и логинимся
▪️Открываем ссылку из письма.
▪️Задаем новый пароль.
▪️Авторизуемся с оригинальным email и новым паролем.