遇到一个钓鱼 QQ 号的这个技术有点看不懂，有没有大佬分析一下这个重定向是怎么做到的？

blacklinux

216 天前

User-Agent

fengzhongdeyihan

216 天前

判断 ua,包含 QQ 的就正常跳转.否则就是跳转到 404
以下是解码出来的
```
var ua = navigator.userAgent.toString();
var urlParams = new URLSearchParams(window.location.search);
var t = urlParams.get('t');
if(t)
{
var ua = navigator.userAgent.toString();
if (ua.indexOf("QQ") !== -1) {
urls = decode(t);
document.getElementById("reportFrame").src=urls+'#?,WorldPro?9xx1?url=https://mp.weixinbridge.com/mp/wapredirect?url=http%253A%252F%252Fvk.vvzan.com#rdtype2=4&rdtype3=3002529&rdurl=http://ptlogin2.qq.com/jump?u1=http://grouproam.qq.com/cgi-bin/httpconn?htcmd=0x6ff0080&u=http://ptlogin2.fm.qq.com/jump?u1=http://ptlogin2.tenpay.com/jump?skey=@7bmBHm0XLp&u1=http://cf.qq.com/comm-htdocs/milo_mobile/login.html?s_url=http://lol.qq.com/comm-htdocs/milo_mobile/login.html?s_url=http://dnf.qq.com/comm-htdocs/milo_mobile/login.html?s_url=http://htdata2.qq.com:80/cgi-bin/httpconn?htcmd=0x6ff0080&u=http://grouproam.qq.com/cgi-bin/httpconn?htcmd=0x6ff0080&u=http://ptlogin2.fm.qq.com/jump?u1=http://ptlogin2.tenpay.com/jump?skey=@7bmBHm0XLp&u1=http://htdata2.qq.com:80/cgi-bin/http'+generateRandomString(20);
}else{
window.parent.location.href='http://qq.com/404';
}
}else{
window.parent.location.href='http://qq.com/404';
}
```

edward1987

216 天前

用 postman 请求一下页面，自己复制混淆代码出来执行一下。关键代码如下，就是用 ua 判断的
var ua = navigator.userAgent.toString();
if (ua.indexOf("QQ") !== -1) {

yuzo555

216 天前

网易云音乐的图床没做类型验证，被人上传恶意网页拿来使用了。
网易云音乐的域名在 QQ 内肯定是白名单安全域名，这是用来防封的。

zephyru

216 天前

@edward1987
@fengzhongdeyihan
我一开始 curl 了一下没拿到..但，这个感觉不太能解释为什么从 QQ 里打开直接复制出来的链接是，第二个..
看贴出来的代码似乎用的还是 qq 自己的跳转 api ，最后为什么出来的会是第三个诈骗链接？

duanxianze

216 天前

这种网站要怎么举报

zephyru

216 天前

@yuzo555
原来如此，这解释了第二层的地址为什么是网易云的...我 curl 了一下，发现是一个 html 里面有个 script
感觉整个流程可以脑补出一大半了...

EJW

216 天前

随便输入 qq 号和密码还得等它验证

zephyru

216 天前

@duanxianze 感觉很难，实际上诈骗网址那种格式的域名在 QQ 里几乎一定是会被提醒不安全的...

zephyru

216 天前

@EJW 如果你输入真的了，估计还会找你要验证码，再然后等待验证的时间就够它盗号然后，群发信息了...的确得感谢现在的多因素验证，不然这网站点进去或者点个投票号可能就没了

fengzhongdeyihan

216 天前

参数 t 就是加密后的真实跳转地址,他利用大平台的域名过白.

maggch97

216 天前

让 gpt 写了个 encode 函数，把网址加密一下替换掉 t 参数就能利用他的页面了

function encode(input) {
function encodeBase64(input) {
const base64 = btoa(input).replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, '');
return base64;
}

// Step 1: Encode the input string to Base64
var base64Data = encodeBase64(encodeURIComponent(input));

// Step 2: Insert random characters
var randomChars1 = 'ABCDEFGHIJ'; // Example random chars, should be dynamically generated
var modifiedData1 = base64Data.slice(0, 1) + randomChars1 + base64Data.slice(1);

// Step 3: Encode the modified string to Base64 again
var doubleEncodedData = encodeBase64(modifiedData1);

// Step 4: Insert another set of random characters
var randomChars2 = 'KLMNOPQRST'; // Example random chars, should be dynamically generated
var modifiedData2 = doubleEncodedData.slice(0, 1) + randomChars2 + doubleEncodedData.slice(1);

// Step 5: Reverse the string
var encodedData = modifiedData2.split('').reverse().join('');

return encodedData;
}

BEza5k2j7yew0VN9

216 天前

https://w.uuy2349qwe08.cc/admin/login
可以用

liduoduo

216 天前

应该就是简单的 ua 判断

XuHuan1025

216 天前

人工上号的，耍了几次，还不验证了

Laobai

216 天前

已经送去了一波 DD

cheanchun

216 天前

@Laobai 立竿见影

Laobai

216 天前

@cheanchun 都是香港机房，一摸就死了

cheanchun

216 天前

@XuHuan1025 中午无聊，提交了几万随机账号密码

XuHuan1025

216 天前

@cheanchun #19 随机没用，得密码正确，他用 ipad 手动登录的，我这密码都是同一个，他看出来不登了广东 ip