假WPS网址更正

帝辛

3306-1 发表于 2026-7-25 12:44
如果是龙虾，要从伪ＷＰＳ网站起步，那就得（＃定义跳转概率）处时间
加手机模拟访问，伪ＷＰＳ网站会在 ...

已经扒下来了。
2026年7月25日12:22：测试非DNS污染，符合AI判断中的：
3. 服务器可能在 HTTP 层（非 HTML 层）根据 User-Agent 返回不同响应头
使用WPS仿冒域名跳颜色？不相干啊。是想先捞一笔吗？

2026年7月25日12:33：尝试手动扒移动端代码，但是刷新了几十次已经不跳转了？
2026年7月25日12:45：
抓到了，具体实现代码：

<script>
  // 维护一个跳转目标域名数组（这里只有一个）
  const links = [
    "hxxps://www.8641xx.xyz/?cc=mm34"
  ];

  // 使用 setTimeout 延时 500 毫秒执行跳转
  setTimeout(function () {
    // 从数组中随机抽取一个目标地址
    const url = links[Math.floor(Math.random() * links.length)];
    // 使用 location.replace 强制重定向
    location.replace(url);
  }, 500);
</script>

触发条件为：UA为手机端，且用户为国外用户，国内外分流。为了防止论坛敏感链接，链接已经毁坏化。关键字眼已经加入xx。
就是ai判断的，服务器端判断。
具体为手机端且国外用户返回：
<title>google</title>
...
const links = [
    "hXXps://www.8641XX.xyz/?cc=mm34"
];
setTimeout(function () {
    const url = links[Math.floor(Math.random() * links.length)];
    location.replace(url);
}, 500);
否则返回wps。
黑产为了利益最大化的做法。

3306-1

帝辛 发表于 2026-7-25 12:49
已经扒下来了。
2026年7月25日12:22：测试非DNS污染，符合AI判断中的：
3. 服务器可能在 HTTP 层（非 H ...

这个只是分流地址，还没到黑灰产黑加白落地页导航门前
分流跳转其实问题不大，甜点都不是，甜点在落地页里面

帝辛

3306-1 发表于 2026-7-25 13:09
这个只是分流地址，还没到黑灰产黑加白落地页导航门前
分流跳转其实问题不大，甜点都不是，甜点在落地页 ...

继续往下意义不大的。别说分流跳转地址了，分流地址不就改个前端代码的事。放个分流纯属是省事，后续不用修改前端代码了。变量里面改一下就行了都不用重新部署。
目前已知结构已经可以说明这网址是恶意网址了。
国内伪造备案仿冒WPS。国外跳转颜色广告变现（包含澳门内容）。
国内仿冒的WPS，下载链接还没上，上了才知道是银狐还是Stealer又或者捆绑。

3306-1

帝辛 发表于 2026-7-25 13:16
继续往下意义不大的。别说分流跳转地址了，分流地址不就改个前端代码的事。放个分流纯属是省事，后续不用 ...

仔细想想：黑灰产需要的不是已被拉黑／标红／拦截访问域名
需要几乎畅通无阻，被各大软件安全放行，明修栈道暗渡陈仓

意义不大命中了黑灰产可能期待结果，无毒不拉黑，指定时间段
俄罗斯套娃，一步步将人深陷黑产矩阵，完成窃密或收割等目的

为什么类俄罗斯套娃和黑产矩阵分流，为的就是入口高可用随机应变
黑产就怕访问入口失效，这意味没法拉新，没拉新意味没所谓的收入

为什么要近似摸清套娃链路，这是为了所谓一眼危害提供坚实流转佐证
更是要弄清到底在暗渡啥，走向／风险推演／被恶意利用等受影响评级

为什么一眼危害，是社区能站在上帝视角，对上下流转铁证进行分析研判
而部分软件内置浏览器里网址并非总是可审计，常在河边走，哪能不湿鞋

说回意义不大，分流本身确实没意义，用完即弃随时变更，可是落地页之一都没深入
形成铁证的前提是黑产流转事实，没有他，即使被拉黑，易被机器蜂群伪造无罪翻供

帝辛

3306-1 发表于 2026-7-26 10:06
仔细想想：黑灰产需要的不是已被拉黑／标红／拦截访问域名
需要几乎畅通无阻，被各大软件安全放行，明修 ...

你想多了。这种网站国内除了火绒都是直接拉黑。
装了杀毒就不可能中招了。过于严谨完全没必要。360对这种都是直接通杀，来多少死多少。一个都过不了。管他里面内容什么。伪装备案+可疑域名直接报假官网，还贴心的贴出了真官网的地址。
国外的本来就访问不了这种灰产，这个分析的都是国内国外区别对待的。而真银狐类基本直接拒绝国外访问。国外杀毒无法访问也基本不拉黑。我看到数不清的灰产网站存活超过30天了。上报国外杀毒也无济于事。
正常用户不如装个信誉通杀，这种根本过不了信誉查，虽然误报高了点：
https://microsoftedge.microsoft. ... eamdhcnkcleedngeeim
手机用户，只要不开无障碍基本没事，注意一下无障碍就行了。iPhone、鸿蒙管控更严，iPhone无障碍都开不了。基本没啥利用空间。除了小白用户直接开启安卓无障碍，不然我想不到中招的地方。

3306-1

帝辛 发表于 2026-7-26 10:57
你想多了。这种网站国内除了火绒都是直接拉黑。
装了杀毒就不可能中招了。过于严谨完全没必要。360对这 ...

https://github.com/Lolitide/VirusDetector

是你想浅了，对链条不严谨不清晰，只会放纵矩阵入口保活成功
民间信誉通杀，这种扩展数据库或规则有可能供应链污染或贿赂

打包环境不会永远无害，过分信赖或参考这种民间信誉数据库
能让使用者无意因扩展供应链污染，导致无警报被陷入黑产里

装了杀毒就不可能中招了，太上帝视角了，常在河边走，哪能不湿鞋
湿鞋案例最近就有。回顾下本帖其他截图，即使国际驰名杀毒也无警

国外的本来就访问不了这种灰产，国际灰产还少吗？访问不了无解法？驰名杀毒
为啥经验丰富，靠什么？不是主观评判，而是全球黑灰产上下链条数据有效关联

上报国外杀毒也无济于事，为什么无济于事，可能是部分分析人员也认为入口意义不大
进而助纣流通，以及可能上报流转链条证据不清晰，这也可能导致部分分析人员的误判

手机中招跟无障碍无关，与手机高危未修补软硬漏洞有关，无障碍开不开只是链条一环
部分或大部分手机，停止更新后未来已或待公布高危漏洞ＰＯＣ，都能成为其连锁利用

证据链里顺丰等被黑产恶意利用各厂，是为各厂为黑产开启了（类无障碍）方便渠道吗
不是，而是上下文链条或漏洞流转过程不清晰不严谨，导致被黑产黑加白轻易借势传播

帝辛

3306-1 发表于 2026-7-26 12:05
https://github.com/Lolitide/VirusDetector

是你想浅了，对链条不严谨不清晰，只会放纵矩阵入口保活 ...

既然你这么认真了。我也认真点回复你吧。不过听我一句劝。你的时间很重要。别把时间浪费在这些没用的上面了。靠这些活的才需要丢时间在上面。

"是你想浅了，对链条不严谨不清晰，只会放纵矩阵入口保活成功
民间信誉通杀，这种扩展数据库或规则有可能供应链污染或贿赂"

你要这么说，那信誉库也可能被污染和贿赂，供应链投毒也不是少数了，更别说GitHub提供者一群，广告拦截规则都不可信了，无数人有权限往里面写删东西。

“打包环境不会永远无害，过分信赖或参考这种民间信誉数据库
能让使用者无意因扩展供应链污染，导致无警报被陷入黑产里”
已经上edge商城了。微软发布新版本之前会审核，如果你要说审核不严谨，那确实有，但开源本身就是供应链最透明的前提，开源扩展都用不了，那你趁早把AdGuard这种闭源插件卸载吧。虽然扩展都是前端纯透明代码，但是发送数据到后端，后端你根本不知道他做了什么。

“装了杀毒就不可能中招了，太上帝视角了，常在河边走，哪能不湿鞋
湿鞋案例最近就有。回顾下本帖其他截图，即使国际驰名杀毒也无警”
我可没说装了杀毒就不会中招了，就连EDR都会漏，我怎么可能说杀毒能100%防御这种话。
我说的是楼主这种链接，-WPS-   WPS-OFFICE。这种已经被360通杀拦截了，对安装了360的人来说。来多少都是白费力气。360看都不看里面的内容直接拦截了。

“国外的本来就访问不了这种灰产，国际灰产还少吗？访问不了无解法？驰名杀毒
为啥经验丰富，靠什么？不是主观评判，而是全球黑灰产上下链条数据有效关联”
你压根没听懂我说什么。我说的是这种灰产网址，例如银狐，标准模板的银狐是后端禁用了国外IP的访问，所以国外用户访问不了。这是最能防止杀毒快速拉黑的手段，绝大多数的银狐能在国外杀毒数据里存活超过30天就是这个手段。严格来说，你提供的这些都算国际灰产虽然目标用户是中国大陆，因为服务器如果设在中国大陆，分分钟就被运营商干了。灰产上下链条根本不重要。因为跳转的域名都是230948239048xy.com这种几分钱甚至免费的域名，人家拿过来就是日抛的，能活的久，他们自然很开心，活的不久，免费换一个就行了。你以为改个数据库要20秒吗？

“上报国外杀毒也无济于事，为什么无济于事，可能是部分分析人员也认为入口意义不大
进而助纣流通，以及可能上报流转链条证据不清晰，这也可能导致部分分析人员的误判“

前面原因已经说了。国外IP被禁止了。无济于事的原因是，他们访问不了这个网站，在他们看来，这是无害或者说危害不到国外杀毒用户的。有些干脆中国大陆就没有产品线。不是上报链条不清晰。上报链条没啥用。你只需要上传当前网址，杀毒那边自己会挖掘链接然后全部拉黑。分析人员极少误判，大多数分析人员都是专业的，单纯是无法访问罢了。就我目前体验而言，国内360的分析人员就没误判过。

”手机中招跟无障碍无关，与手机高危未修补软硬漏洞有关，无障碍开不开只是链条一环
部分或大部分手机，停止更新后未来已或待公布高危漏洞ＰＯＣ，都能成为其连锁利用“

对真实Oday而言，手机高危漏洞的利用不如无障碍方便，你可以搜索一下新闻，目前所有个人造成重大损失的都是无障碍，大范围利用手机漏洞的，只有PDD事件。因为未发掘的漏洞本身就很值钱，这个安全漏洞可能比你引导用户开个无障碍值钱无数倍，基本就是企业和国家在利用。而且因为定制os过于众多，这导致了通用型的漏洞更值钱了。16:32，禀着严谨的态度再补充一下目前安卓就算存在安全漏洞，利用难度也远比Windows高。无障碍还是最方便的盗刷手段。
反而是Windows端安全漏洞利用更多点，因为Windows上利用门槛更低，而且Windows每出一个补丁，都可以逆向出更多的漏洞。这点你可以去看各种提权小工具。无提醒提权本身就是在利用安全漏洞。

“证据链里顺丰等被黑产恶意利用各厂，是为各厂为黑产开启了（类无障碍）方便渠道吗
不是，而是上下文链条或漏洞流转过程不清晰不严谨，导致被黑产黑加白轻易借势传播”

这点我不用看你所谓的证据链，凭经验盲猜就能知道。肯定是利用大厂的分享/网盘/短链/文档等手段。
这些本身就是大厂正常提供的服务，例如前些年的微博图床，你在里面塞个违法链接轻而易举。
这些玩意多如牛毛，不是链条不清晰，是没法搞，只能让系统自动判断，根本没法审核的，这些东西是方便更多人弄出来的。少部分人利用罢了。

3306-1

帝辛 发表于 2026-7-26 16:29
既然你这么认真了。我也认真点回复你吧。不过听我一句劝。你的时间很重要。别把时间浪费在这些没用的上面 ...

感谢讨论，你我是两条路，你一眼危害经验盲猜
我链条固定／详细分析，确实不必要讨论了谢谢

帝辛

3306-1 发表于 2026-7-26 16:43
感谢讨论，你我是两条路，你一眼危害经验盲猜
我链条固定／详细分析，确实不必要讨论了谢谢

你觉得我的经验是哪来的？凭空出现的吗？还是我是个小白凭自我感觉判断出来的？
算了，你开心就好。你继续琢磨。时间到了你就不会浪费时间在这上面了。
还是那句话。你的时间很值钱，建议专业的事情让专业的人去做，虽然杀毒厂商现在都不怎么分析链接了，链接都快成为样本附带了。顺手拉黑的玩意。

1654626363

插件弹窗提醒