北京爱奇艺 qysdk_*.js pcweb.wonder.*.js > 异步轮询，火绒加密链接扫描报告错误

3306-1

来源：https://www.iqiyi.com/v_1b6g5tw5tvs.html
提供：北京爱奇艺科技有限公司
抄送：@火绒工程师
备注：刚开始弹出报错时察觉反常，还以为是类５１啦统计代码投毒行为
　　　对链路等简单测绘后，发现理论上是正常的，可能不是投毒等情况

　　　看起来是正常的？具体用途不明，撑爆上下文了，没法生成式分析
　　　１０３有刚新签发证书，结果草台班子，证书给换错导致访问异常

提供者链路

1. v_1b6g5tw5tvs
   
2. ＶＶＶ
   
3. 外联脚本
   
4. 内联脚本 var c
   
5. ＶＶＶ
   
6. https://static.iqiyi.com/js/player_v3/pcweb.wonder.17.082.online.js
   
7. https://www.iqiyi.com/static/js/qysdk_a18415e4.32a717e8.js
   
8. ＶＶＶ
   
9. e_
   
10. var r
    
11. ＶＶＶ
    
12. fetch https://103.44.59.54:443/3e8
    
13. ＶＶＶ
    
14. 发生扫描错误

复制代码

域　名　iqiyi[.]com
注册商　Alibaba Cloud Computing (Beijing) Co., Ltd.
注册人　北京爱奇艺科技有限公司
邮　箱
省／州　北京
地　区　中国（CN）
许可号　京ICP备11032965号
注册日　2010-07-12 03:00:19 UTC+8
过期日　2029-07-12 03:00:19 UTC+8
更新日　2025-09-29 15:17:56 UTC+8
通过日　2026-08-14
IANA_ID　420
状　态　客户端禁止转移
DNS　　ns1[.]iqiyi[.]com
　　　　ns2[.]iqiyi[.]com
　　　　ns3[.]iqiyi[.]com
　　　　ns4[.]iqiyi[.]com
DNSSEC　未配置

文件指纹
pcweb.wonder.17.082.online.js
大小: 1900867 字节 : 1856 KiB
CRC32: 6A5A9CBE
CRC64: 7C60E6D50E1E4143
XXH64: F2A7BB6638FD12EA
SHA256: 9b5d5e4ed0a69dbc122044ba5ca518ac0cb3976e080baef4918d10c2a9020d86
SHA3-256: 1c6f9a69ab36b0060cbc0a383f51fd3500ca92d67c67e4267a6f0dc9a879e3b5

qysdk_a18415e4.32a717e8.js
大小: 403601 字节 : 394 KiB
CRC32: D5468BC5
CRC64: 9E5427EE467CFF10
XXH64: 6A45527532BFB115
SHA256: 4e0baf34bcde32518a2d1672221befb38565b66fa1b4e904b43c19b04bd75ffc
SHA3-256: f585fa0fc0217f234fd86efea322dddb10480974345b48dbb73203b585c42d64

火绒扫描（我自己的本地扫描结果）
6.0.11.2 版本
08-16 18:37 病毒库

2026/08/16 20:17:41
病毒防护
WEB扫描
发生扫描错误【103-44-59-54】，已忽略

发生扫描错误
网站：103-44-59-54
操作结果：已忽略

相关过程
内联脚本

1. v_1b6g5tw5tvs
   
2. 
   
3. <script
   
4. 　　defer="defer"
   
5. 　　data-play="1"
   
6. 　　type="text/javascript"
   
7. 　　src="//static.iqiyi.com/js/player_v3/pcweb.wonder.17.082.online.js"
   
8. 　　crossorigin="anonymous"
   
9. 　　onerror="
   
10. 　　　　try {
    
11. 　　　　  window.playbackPageStageStatus.fastPlay.onPlayerError();
    
12. 　　　　} catch (a) {}">
    
13. 　　"
    
14. </script>
    
15. 
    
16. !(function () {
    
17.   var c = {
    
18.     js: [
    
19.       "/static/js/react.e042f727.js",
    
20.       "/static/js/adfe.14110dbe.js",
    
21.       "/static/js/qysdk_536eaa00.23e5d5cf.js",
    
22.       "/static/js/qysdk_a18415e4.32a717e8.js",
    
23.       "/static/js/iqiyi-pcw-ui.c17804f2.js",
    
24.       "/static/js/iqiyi-sdk.59e90743.js",
    
25.       "/static/js/libs.f2f40a97.js",
    
26.       "/static/js/common-pcwPlayer_9a8b795a.927f93a0.js",
    
27.       "/static/js/common-pcwPlayer_315ae690.d4fbb10b.js",
    
28.       "/static/js/common-pcwPlayer_34c3eb45.623313cc.js",
    
29.       "/static/js/common-pcwPlayer_aa14f5eb.add525e3.js",
    
30.       "/static/js/common-pcwPlayer_5abd89a0.f7ab5337.js",
    
31.       "/static/js/common-pcwPlayer_6a89c156.458a8505.js",
    
32.       "/static/js/common-pcwPlayer_31743c5a.fb6539a7.js",
    
33.       "/static/js/common-pcwPlayer_7bd12dde.fd5fe232.js",
    
34.       "/static/js/common-channel.2d0536ea.js",
    
35.       "/static/js/pcwPlayer.336756c4.js",
    
36.     ],
    
37.     css: [
    
38.       .....
    
39.     ],
    
40.   };
    
41. .....
    
42. })();

复制代码

脚本载入

1. https://static.iqiyi.com/js/player_v3/pcweb.wonder.17.082.online.js
   
2. 
   
3. /*! Built by pcw player group @2026/8/12 18:02:17 */
   
4. 
   
5. .....
   
6.   ((n.m = i),
   
7. .....
   
8.     (() => {
   
9.         e_ = {
   
10.           ip1: "116.211.198.237",
    
11.           ip2: "111.63.147.158",
    
12.           ip3: "103.44.59.54",
    
13.         },
    
14. .....

复制代码

脚本载入

1. https://www.iqiyi.com/static/js/qysdk_a18415e4.32a717e8.js
   
2. 
   
3. 'use strict';
   
4. (
   
5.   self.webpackChunk_iqiyi_webapp = self.webpackChunk_iqiyi_webapp ||
   
6.   []
   
7. ).push(
   
8.   [[4813],
   
9.   {
   
10. .....
    
11.     6789: function (e, t) {
    
12. .....
    
13.       var r = [
    
14.         '116.211.198.237',
    
15.         '111.63.147.158',
    
16.         '103.44.59.54'
    
17.       ];
    
18. .....
    
19.     },
    
20. .....
    
21.   }
    
22.   ]
    
23. );
    
24. //# sourceMappingURL=qysdk_a18415e4.32a717e8.js.map
    
25. //# sourceURL=/static/js/qysdk_a18415e4.32a717e8.js

复制代码

异步轮询

1. https://116.211.198.237/3e8
   
2. https://111.63.147.158/3e8
   
3. https://103.44.59.54/3e8

复制代码

轮询响应

1. https://116.211.198.237/3e8
   
2. 
   
3. 　　HTTP/2 200
   
4. 　　server: nginx
   
5. 　　date: Sun, 16 Aug 2026 14:24:13 GMT
   
6. 　　content-type: text/plain
   
7. 　　client-ip: 10.195.192.79
   
8. 　　server-time: 1786890253
   
9. 　　access-control-allow-origin: *
   
10. 　　content-encoding: gzip
    
11. 　　X-Firefox-Spdy: h2
    
12. 
    
13. 　　116.211.189.178;124.237.225.32
    
14. 
    
15. https://111.63.147.158/3e8
    
16. 
    
17. 　　HTTP/2 200
    
18. 　　server: nginx
    
19. 　　date: Sun, 16 Aug 2026 13:26:28 GMT
    
20. 　　content-type: text/plain
    
21. 　　client-ip: 10.71.30.154
    
22. 　　server-time: 1786886788
    
23. 　　access-control-allow-origin: *
    
24. 　　content-encoding: gzip
    
25. 　　X-Firefox-Spdy: h2
    
26. 
    
27. 　　116.211.189.178;124.237.225.32
    
28. 
    
29. https://103.44.59.54/3e8
    
30. 
    
31. 　　错误代码：SSL_ERROR_BAD_CERT_DOMAIN
    
32. 
    
33. 　　无法安全地与对等端通信：请求的域名与服务器的证书不匹配。
    
34. 
    
35. 　　HTTP 严格传输安全（HSTS）：false
    
36. 　　HTTP 公钥固定：false
    
37. 　　通用名称：116.211.198.237
    
38. 
    
39. https://103.44.59.54/3e8　　继续前往（有风险）
    
40. 
    
41. 　　HTTP/2 200
    
42. 　　server: nginx
    
43. 　　date: Sun, 16 Aug 2026 14:25:55 GMT
    
44. 　　content-type: text/plain
    
45. 　　client-ip: 10.195.192.80
    
46. 　　server-time: 1786890355
    
47. 　　access-control-allow-origin: *
    
48. 　　content-encoding: gzip
    
49. 　　X-Firefox-Spdy: h2
    
50. 
    
51. 　　116.211.189.178;124.237.225.32

复制代码

堆栈跟踪

1. 仅取头部片段
   
2. 
   
3. 6789/e.prototype.discover/l</</t/<
   
4. /static/js/qysdk_a18415e4.32a717e8.js:1:28029
   
5. 
   
6. 6789/o</l/</< /static/js/qysdk_a18415e4.32a717e8.js:1:26037
   
7. 
   
8. 6789/o</l/<
   
9. /static/js/qysdk_a18415e4.32a717e8.js:1:26142
   
10. 
    
11. 6789/o</l/</<
    
12. /static/js/qysdk_a18415e4.32a717e8.js:1:25523
    
13. 
    
14. 6789/o</l/<
    
15. /static/js/qysdk_a18415e4.32a717e8.js:1:26142
    
16. 
    
17. 6789/n</<
    
18. /static/js/qysdk_a18415e4.32a717e8.js:1:24959
    
19. 
    
20. 6789/n<
    
21. /static/js/qysdk_a18415e4.32a717e8.js:1:24707
    
22. 
    
23. 6789/e.prototype.discover
    
24. /static/js/qysdk_a18415e4.32a717e8.js:1:27576
    
25. 
    
26. 6789/e.prototype.initialize
    
27. /static/js/qysdk_a18415e4.32a717e8.js:1:27210
    
28. 
    
29. 52732/t.prototype.initialize
    
30. /static/js/qysdk_a18415e4.32a717e8.js:1:251862
    
31. 
    
32. 57402/e.prototype.onload
    
33. /static/js/qysdk_a18415e4.32a717e8.js:1:277980
    
34. 
    
35. setCurrent
    
36. /static/js/qysdk_a18415e4.32a717e8.js:1:205742
    
37. 
    
38. 68498/<
    
39. /static/js/pcwPlayer.336756c4.js:1:3044
    
40. 
    
41. 68498
    
42. /static/js/pcwPlayer.336756c4.js:1:5485
    
43. 
    
44. r
    
45. /static/js/pcwPlayer.336756c4.js:1:5602
    
46. 
    
47. n<
    
48. /static/js/pcwPlayer.336756c4.js:1:10628
    
49. 
    
50. r.O
    
51. /static/js/pcwPlayer.336756c4.js:1:5920
    
52. 
    
53. t
    
54. /static/js/pcwPlayer.336756c4.js:1:10387
    
55. 
    
56. <匿名>
    
57. /static/js/common-pcwPlayer_31743c5a.fb6539a7.js:1:82

复制代码

证书ＣＴ

1. https://crt.sh?q=Beijing IQIYI Science & Technology Co., Ltd.
   
2. 
   
3. 116.211.198.237
   
4. https://crt.sh?id=22099370496
   
5. https://crt.sh?id=22095354183
   
6. 
   
7. 　　本次访问证书序列号　39:AD:01:48:CF:36:9D:28:25:96:EC:41
   
8. 
   
9. 111.63.147.158
   
10. https://crt.sh?id=22878368886
    
11. https://crt.sh?id=22876878151
    
12. https://crt.sh?id=22836693405
    
13. https://crt.sh?id=22834176598
    
14. 
    
15. 　　本次访问证书序列号　0D:40:EE:27:26:0E:3D:DD:A4:25:9E:EF
    
16. 
    
17. 103.44.59.54
    
18. https://crt.sh?id=28374049890
    
19. https://crt.sh?id=28372992929
    
20. 
    
21. 　　本次访问证书序列号　39:AD:01:48:CF:36:9D:28:25:96:EC:41

复制代码

百度画像

1. https://qifu.baidu.com?activeKey=SEARCH_IP&trace=apistore_ip_aladdin&activeId=SEARCH_IP_ADDRESS&ip=
   
2. 
   
3. IPv4：116.211.198.237
   
4. 归属地：中国-湖北省-武汉市
   
5. 运营商：中国电信
   
6. 所属公司：--
   
7. 应用场景：IDC
   
8. 风控标签：暂无标签
   
9. 
   
10. IPv4：111.63.147.158
    
11. 归属地：中国-河北省-石家庄市
    
12. 运营商：China Mobile Communications Group Co. Ltd
    
13. 所属公司：--
    
14. 应用场景：IDC
    
15. 风控标签：暂无标签
    
16. 
    
17. IPv4：103.44.59.54
    
18. 归属地：中国
    
19. 运营商：爱奇艺
    
20. 所属公司：--
    
21. 应用场景：机构专线
    
22. 风控标签：暂无标签
    
23. 
    
24. IPv4：116.211.189.178
    
25. 归属地：中国-湖北省-武汉市
    
26. 运营商：中国电信
    
27. 所属公司：--
    
28. 应用场景：IDC
    
29. 风控标签：暂无标签
    
30. 
    
31. IPv4：124.237.225.32
    
32. 归属地：中国-河北省-保定市
    
33. 运营商：中国电信
    
34. 所属公司：--
    
35. 应用场景：IDC
    
36. 风控标签：暂无标签

复制代码

脚本载入
https://s.threatbook.com/report/url/e19fe0b4d10ca3046782ed4918223cfb
https://s.threatbook.com/report/url/193861df8ba02069a6011810a59e7148

异步轮询
https://s.threatbook.com/report/url/3b2a82932785086f9b3eb6874a53521a
https://s.threatbook.com/report/url/56297935ff8f017e472c1c933fdbf83d
https://s.threatbook.com/report/url/fed6f98db062635662e085858006dc47

样本（官方提供）
提取码：无，解压码：无

1. https://www.iqiyi.com/v_1b6g5tw5tvs.html

复制代码