Erkennung/Auflösung von kryptischer URL

Zitronella

Ich habe heute eine Spammail erhalten. In dieser war ein recht kryptischer Link.
Fahre ich in Thunderbird über den Link darüber, wird mir unten ein teils "entschlüsselter" Link angezeigt.
Wenn ich jedoch Rechtsklick mache --> "Link-Adresse kopieren" dann wird wieder der kryptische Link kopiert.

[attachment=0]spam.png[/attachment]

Ich lasse mir Mails immer im Reintext anzeigen. Wenn ich den Nachrichten Quelltext mir ansehe, steht dort auch nur der kryptische Link drin.

Jetzt meine Frage: Wie kommt es zu diesem "entschlüsselten" Link? Mit was ist der kodiert? und mit was kann man diesen entschlüsseln? evtl. mit einem online Tool, so wie man z.B. auch base64 Dinge de/codieren kann?

Es gibt zu diesem Link auch einen Scan von VirusTotal (nicht von mir) https://www.virustotal.com/de/url/e0be9ab…b4494/analysis/ und wenn man dort auf "Zusätzliche Informationen" klickt sieht man auch wohin der Link führt. (ESET sperrt mir gleich die Ziel Seite)

Zitronella

zum entschlüsseln habe ich nun diese Seite http://expandurl.appspot.com/ gefunden.

Mithrandir

Ich kann dir momentan nur sagen, dass so etwas wie %77 für den Hexadezimal-Wert des Ascii-Codes des jeweiligen Zeichens (%77 steht für das kleine w) steht. Browser und auch Thunderbird setzen so etwas in lesbare Form um.

S. z.B. http://ascii.cl/ - hier gibt es Tabellen und auch einen Decoder.

Zitronella

Danke, das hilft mir schon viel weiter und mit http://ascii.cl/url-decoding.htm konnte ich auch die kryptische Webseite auch dekodieren

Mithrandir

Vielleicht kann man sich eine Erweiterung/ein Skript basteln, die/das mit decodeURI() die Links in einem Popup lesbar und kopierbar macht. S. https://developer.mozilla.org/de/docs/Web/Ja…jects/decodeURI

Oder man legt einen Kontextmenüeintrag an, der sich "Link decodiert kopieren" nennt und die gleiche Funktion wie "Link kopieren "anbietet, nur über den String noch ein decodeURI() laufen lässt. Aborix oder Endor bekommen das bestimmt schnell hin. BTW: in deinem Scteenshot steht im Kontextmenü ganz unten GetTheRealURL - was ist das denn?

Zitronella

ohh, das mit der "GetTheRealURL" hatte ich selbst übersehen. Aber wenn ich da drauf klicke kommt nur: "Cannot expand URL (404)" Der Eintrag kommt von der Erweiterung https://addons.mozilla.org/de/thunderbird/addon/therealurl/ (die wohl nicht mehr gepflegt wird). Es wäre natürlich toll, wenn es dafür wirklich eine Erweiterung geben würde...

Speravir

Deine Fragen sind ja im Wesentlichen beantwortet, aber lass mich zusätzlich noch auf URL-Encoding (Wikipedia) hinweisen.

Spätestens nach dem Lesen fällt dann auf, dass in der Mail oben mehr verschlüsselt wurde, als technisch notwendig ist, um den Namen der Domain zu verschleiern.