01 · 滥用模式分类学（M1—M8）
基于Interisle年度测量、APWG趋势报告与公开安全研究的长期一致观察，钓鱼证书的域名构造可归纳为八类模式。模式之间常组合出现（如"组合仿冒＋通配符证书＋批量注册"），分类的价值在于为每类模式匹配最有效的检测抓手。
| 编号 | 模式名称 | 构造手法与示例特征 | 最有效的检测抓手 |
|---|---|---|---|
| M1 | IDN同形异义 | 以字形近似字符替换（西里尔а↔拉丁a、ο↔o等），浏览器显示与品牌域名视觉一致；Punycode形态为xn--前缀 | 域名归一化＋confusable映射（UTS #39）＋视觉相似度算法；注意：Interisle 2025测量显示IDN域名仅占涉钓域名0.17%（2,655个，其中78%判定为恶意注册）——数量小但单案价值高，多见于定向攻击 |
| M2 | 组合仿冒 | 品牌词＋关键词拼接：secure-paypal.com、paypal-verify.net、brand-bonus.xyz | 品牌词典＋词边界匹配；关键词风险加权（login/verify/secure/update/support/bonus等） |
| M3 | 拼写抢注 | 漏字/换位/重复/字符替换：paypall.com、paypa1.com（leet替换） | 编辑距离阈值（Levenshtein/Damerau）＋leet归一化 |
| M4 | 子域滥用 | 品牌词置于受控域名的子域位：paypal.com.secure-login.example.tld | 主域归一化后做品牌匹配（忽略子域层级）＋主域注册行为特征 |
| M5 | 品牌词＋活动词 | 紧跟营销活动热词：brand-redpacket、brand-618、brand-subsidy | 品牌词典＋活动词库季节性更新；结合注册时间聚集性 |
| M6 | 通配符证书批量子域 | 注册主域后签*.example.tld，动态生成大量品牌子域（campaign1.example.tld、campaign2.example.tld…） | SAN通配符特征＋同一证书覆盖子域的批量枚举（CT日志可全量回溯） |
| M7 | 被黑站点证书复用 | 入侵合法站点后在其子路径部署钓鱼页，复用站点域名与证书信誉 | CT不可见——依赖URL情报（APWG/厂商源）、搜索引擎告警、站点所有者通报 |
| M8 | 免费托管/平台子域 | 滥用sites.google.com、github.io等平台子域与平台共享证书 | CT基本不可见——平台内容政策治理＋URL情报；Interisle 2024：子域提供商滥用量同比+51%（超45万个名称） |
数量与价值的错配警示：Interisle 2025测量显示，IDN同形域名仅占全部涉钓域名的0.17%，而主流模式是M2/M3类"组合仿冒＋拼写抢注"的批量构造（77%的域名系恶意注册、37%经批量注册服务）。防御资源配置应以批量模式为主战场，同时对M1类高定向攻击保留专项检测——避免"防御炫技化"。
02 · 域名构造的统计规律
2.1 词汇与结构特征
| 特征维度 | 钓鱼侧规律（公开研究一致观察） | 合法对照组的差异 |
|---|---|---|
| 关键词分布 | login/verify/secure/confirm/update/support/bonus/redpacket/account等安全敏感词高频出现于品牌词邻位 | 官方变体域名很少使用此类词，或仅以固定产品名出现 |
| 连字符与长度 | 品牌词前后拼接导致连字符增多、域名长度显著长于官方域名 | 官方域名短、连字符极少（个别例外如区域站点） |
| 字符替换 | leet替换（0/o、1/l）、双写（paypall）、换位（payapl） | 少见；出现时常伴随商标纠纷记录 |
| 注册时长 | 以1年及以下为主，"随钓随弃"；批量注册服务进一步降低单域成本 | 官方域名多年期续费、注册历史长 |
| 注册-签发时序 | 域名注册与证书签发同日或次日完成的比例高（"注册即签发"流水线特征） | 官方域名证书签发历史与域名年龄匹配 |
2.2 TLD结构：市场占比与风险密度的倒挂
免费域名时代的终结与反弹：曾占全球钓鱼攻击约14%的Freenom免费域名（.tk/.ml等）于2023年1月停止免费注册（因滥用治理压力与诉讼和解），APWG随后观察到钓鱼活动量回落——注册渠道治理是被验证有效的杠杆。当前批量注册服务（Interisle 2025：占37%）与部分低价新gTLD承接了这一角色。
使用纪律：以上统计规律只能用于风险加权，不可单独作为判定依据。合法促销域名、联盟营销站点同样包含"-bonus"类关键词；正确的用法是"相似度评分×注册行为×解析托管特征"的联合评分（第4页），并保留人工复核环节。
2.3 批量注册聚集：注册商层指纹（Interisle 2025实测）
批量注册服务在注册商层面留下清晰指纹。Interisle 2025报告"Bulk Registrations"章节给出的涉钓批量注册域名TOP注册商（测量期2024年5月—2025年4月）：
| 排名 | 注册商 | 批量注册涉钓域名数 | 批量集合数 | 最大单次集合规模 |
|---|---|---|---|---|
| 1 | Dynadot | 768,090 | 7,033 | 4,386 |
| 2 | Gname | 586,743 | 8,900 | 1,982 |
| 3 | GoDaddy | 475,512 | 8,929 | 1,431 |
| 4 | NameSilo | 268,206 | 6,574 | 712 |
| 5 | NameCheap | 211,998 | 5,719 | 826 |
来源：Interisle《Phishing Landscape 2025》Bulk Registrations章节（按涉钓批量注册域名数排序）。该聚集性意味着：注册商层面的风控与协查是治理批量钓鱼基础设施的最高杠杆点之一；同时注意头部注册商亦服务海量合法客户，处置应以"证据化举报"而非"整体封禁"方式进行。