V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
zephyru
V2EX  ›  程序员

遇到一个钓鱼 QQ 号的这个技术有点看不懂,有没有大佬分析一下这个重定向是怎么做到的?

  •  
  •   zephyru · 50 天前 · 2977 次点击
    这是一个创建于 50 天前的主题,其中的信息可能已经有所发展或是发生改变。

    套路本身很常见,收到一个让帮忙给它亲戚家的孩子舞蹈比赛投票的拉票链接,点进去提示为了防止拉票要输入 QQ 号账户密码,一眼诈骗没什么好说的..

    但有意思的是这个链接只能在 QQ 上打开,电脑浏览器里打开是 QQ 空间的 404 ,QQ 里打开以后复制链接看起来是像是和网易云音乐有关的地址(电脑上打开依旧是 QQ 空间的 404 ),但真实的地址是完全不相干的东西...

    诈骗的链接是:www.0bj6.fun/3wkq
    跳转后在 QQ 里打开的: http://p6.music.126.net/7FsUv-uugQmdDd-q9YgX7g==/109951169568998576?t=q5UbMRTQUp1MGh1Tw0kaNVjVYRWdjNDT29GRjBjUIZzMiBTOjZTNkBT013bd62ed5Y#514
    真实的链接: https://w.uuy2349qwe08.cc/

    只有真实的链接是可以在浏览器里打开的,我在想这个重定向是通过什么做到的?第一个看起来是一个短链接,第二个看起来像是代理...是 QQ 和网易云音乐上有什么漏洞被利用了么?

    纠结了一下是提到“全球工单系统”还是“程序员”,还是放在“程序员”吧,我也不确定这算不算腾讯的产品有 bug

    第 1 条附言  ·  50 天前
    搞明白了,看来是我想多了,只是简单的“短链接 -> 网易云图床 -> iframe”
    一下子就明白了,图床如果不和主域名隔离会有多大危害以及,不加验证会被人拿来干什么....
    也就是有问题的实际上是网易云的图床,这个跳转做的居然还是通用的..找个途径反馈一波
    22 条回复
    blacklinux
        1
    blacklinux  
       50 天前
    User-Agent
    edward1987
        3
    edward1987  
       50 天前
    用 postman 请求一下页面,自己复制混淆代码出来执行一下。关键代码如下,就是用 ua 判断的
    var ua = navigator.userAgent.toString();
    if (ua.indexOf("QQ") !== -1) {
    yuzo555
        4
    yuzo555  
       50 天前   ❤️ 3
    网易云音乐的图床没做类型验证,被人上传恶意网页拿来使用了。
    网易云音乐的域名在 QQ 内肯定是白名单安全域名,这是用来防封的。
    zephyru
        5
    zephyru  
    OP
       50 天前
    @edward1987
    @fengzhongdeyihan
    我一开始 curl 了一下没拿到..但,这个感觉不太能解释为什么从 QQ 里打开直接复制出来的链接是,第二个..
    看贴出来的代码似乎用的还是 qq 自己的跳转 api ,最后为什么出来的会是第三个诈骗链接?
    duanxianze
        6
    duanxianze  
       50 天前
    这种网站要怎么举报
    zephyru
        7
    zephyru  
    OP
       50 天前
    @yuzo555
    原来如此,这解释了第二层的地址为什么是网易云的...我 curl 了一下,发现是一个 html 里面有个 script
    感觉整个流程可以脑补出一大半了...
    EJW
        8
    EJW  
       50 天前
    随便输入 qq 号和密码还得等它验证
    zephyru
        9
    zephyru  
    OP
       50 天前
    @duanxianze 感觉很难,实际上诈骗网址那种格式的域名在 QQ 里几乎一定是会被提醒不安全的...
    zephyru
        10
    zephyru  
    OP
       50 天前
    @EJW 如果你输入真的了,估计还会找你要验证码,再然后等待验证的时间就够它盗号然后,群发信息了...的确得感谢现在的多因素验证,不然这网站点进去或者点个投票号可能就没了
    fengzhongdeyihan
        11
    fengzhongdeyihan  
       50 天前
    参数 t 就是加密后的真实跳转地址,他利用大平台的域名过白.
    maggch97
        12
    maggch97  
       50 天前 via iPhone
    让 gpt 写了个 encode 函数,把网址加密一下替换掉 t 参数就能利用他的页面了

    function encode(input) {
    function encodeBase64(input) {
    const base64 = btoa(input).replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, '');
    return base64;
    }

    // Step 1: Encode the input string to Base64
    var base64Data = encodeBase64(encodeURIComponent(input));

    // Step 2: Insert random characters
    var randomChars1 = 'ABCDEFGHIJ'; // Example random chars, should be dynamically generated
    var modifiedData1 = base64Data.slice(0, 1) + randomChars1 + base64Data.slice(1);

    // Step 3: Encode the modified string to Base64 again
    var doubleEncodedData = encodeBase64(modifiedData1);

    // Step 4: Insert another set of random characters
    var randomChars2 = 'KLMNOPQRST'; // Example random chars, should be dynamically generated
    var modifiedData2 = doubleEncodedData.slice(0, 1) + randomChars2 + doubleEncodedData.slice(1);

    // Step 5: Reverse the string
    var encodedData = modifiedData2.split('').reverse().join('');

    return encodedData;
    }
    ShikiSuen
        13
    ShikiSuen  
       50 天前
    liduoduo
        14
    liduoduo  
       50 天前
    应该就是简单的 ua 判断
    XuHuan1025
        15
    XuHuan1025  
       50 天前
    人工上号的,耍了几次,还不验证了
    Laobai
        16
    Laobai  
       50 天前
    已经送去了一波 DD
    cheanchun
        17
    cheanchun  
       50 天前
    @Laobai 立竿见影
    Laobai
        18
    Laobai  
       50 天前
    @cheanchun 都是香港机房,一摸就死了
    cheanchun
        19
    cheanchun  
       50 天前
    @XuHuan1025 中午无聊,提交了几万随机账号密码
    XuHuan1025
        20
    XuHuan1025  
       50 天前
    @cheanchun #19 随机没用,得密码正确,他用 ipad 手动登录的,我这密码都是同一个,他看出来不登了 广东 ip
    Jack66
        21
    Jack66  
       50 天前
    没看明白
    ZnductR0MjHvjRQ3
        22
    ZnductR0MjHvjRQ3  
       50 天前
    主要问题出在网易云
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   5773 人在线   最高记录 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 25ms · UTC 02:18 · PVG 10:18 · LAX 19:18 · JFK 22:18
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.