钓鱼攻击使用了各种各样的技术，一封电子邮件消息和网页的显示表明了其执行和欺诈性的差异。 以下是一些常见的攻击技术。 1、复制图片、网页设计、相似域名的用户认证网站的一个方法是检查地址栏中显示的URL。 为了欺诈目的，攻击者注册域名。 这看起来和假网站域名相似。 在某些情况下，攻击者会改变大小写或使用特殊字符。 由于大多数浏览器都以无衬线形式显示URL，因此“paypaI.com”可以假定为“paypal.com”，“barcIays.com”可以假定为“barclays.com”。 更常见的是，伪域名只是简单地插入真域名的一部分。 例如，在” ebay-members-security.com “中假冒为” ebay.com “、在” users-paypal.com “中假冒为” paypal.com “大部分用户都是伪域2、URL隐藏假URL的另一种方法是利用了URL语法中不常用的特性。 用户名和密码可以包含在域名之前，语法为：3358 username : password @ domain /攻击者将看起来合理的域名放在用户名位置，隐藏实际的域名或地址例如，“http://CHN CTO.com/ll . l @ 211.112.228.2”。 web浏览器的最近更新关闭了此漏洞。 其方法是在地址栏出现之前从URL中删除用户名和密码，或者只是完全禁用包含用户名/密码的URL语法。 Internet Explorer使用了后者的方法。 3、IP地址隐藏服务器身份最简单的方法是以IP地址的形式显示。 例如，http://210.93.**.250。 我不敢相信这项技术的有效性。 由于许多合法URL还包含不透明且难以理解的数字，因此只有分析URL并充分警惕的用户才可能产生怀疑。 4、欺骗性超链接
ent:28.08px”> 一个超链接的标题完全独立于它实际指向的URL。攻击者利用这种显示和运行间的内在差异，在链接标题中显示一个URL，而在背后使用了一个完全不同的URL。即便是一个有着丰富知识的用户，他在看到消息中显而易见的URL后也可能不会想到去检查其真实的URL。检查超链接目的地址的标准方法是将鼠标放在超链接上，其URL就会在状态栏中显示出来，但这也可能被攻击者利用JavaScript或URL隐藏技术所更改。
5、隐藏提示
还有一种更复杂的攻击，它不是在URL上做文章，而是通过完全替换地址栏或状态栏达到使其提供欺骗性提示信息的目的。最近发生的一次攻击就使用了用JavaScript在Internet Explorer的地址栏上创建的一个简单的小窗口，它显示的是一个完全无关的URL。
6、弹出窗口
最近对Citibank客户的一次攻击使网页复制技术前进了一步，它在浏览器中显示的是真实的Citibank网页，但在页面上弹出了一个简单的窗口，要求用户输入个人信息。
7、社会工程
钓鱼攻击还使用非技术手段使用户坠入陷阱，其中的一个策略就是急迫性，从而使用户急于采取行动，而较少花时间去核实消息的真实性。另一个策略是威胁用户，如果不按照所要求的去做就会造成可怕的后果，如终止服务或关闭帐户，少数攻击还许诺将获得巨额回报如“你中了一个大奖!”)，但威胁攻击更为常见，用户往往会对不劳而获产生怀疑，这可能是人类的本能。