edge 商店里的 Proxy SwitchyOmega 是李鬼

[Jat001]

闲得无聊来扒下皮

首先用 beyond compare 比较一下李鬼跟原版有什么区别，发现 background.html 里多引了一个脚本 js/pic.js


打开 pic.js 看核心代码，用 String.fromCharCode.apply 把 ascii 转回字符串，发现这里实际上是又加载了一个脚本 img/logo.png


把 logo.png 的扩展名改为 html 然后用浏览器打开就会发现这个文件前半部分是 png，后半部分是纯文本。图片浏览器会忽略后半部分，所以仍然可以当作图片正常打开。上面那段代码就是寻找脚本的关键字（ sojson ），截取后半部分


所以这段脚本到底是干嘛的呢?由于太长了直接拉到最后


\x73\x70\x6c\x69\x74 是 split，正则 /[a-zA-Z]{1,}/ 是 split 的参数，这一大串其实就是用字母分隔的 ascii 数组，把字母去掉然后用 String.fromCharCode.apply 转回字符串，李鬼现行了

https://gist.github.com/jat001/b10d12eee207c380246e7be74f8e6ed6

[tanghongkai]

Proxy SwitchyOmega 官网没有 edge 版，我当时看到就觉得不对劲了

[legend4]

无论哪个浏览器，建议用 SmartProxy，SwitchyOmega 已经很久没更新了，主要依赖的 Pac 和那啥 List 都已经被边缘化了，现在的主流 Proxy 都已经内置 DNS+IP 分流了，用 SmartProxy 绰绰有余，而且扩展也是开源的。

[Jat001]

@legend4 #42 主流 proxy 是什么?

[ffflouder]

在 egde 商店下扩展的时候都会看看开发者是谁，然后去 chrome 商店看看，edge 商店上不少应用的开发者名字看起来挺奇怪的，跟李鬼一样。

[kenvix]

已中招。这也能上架？

[Jat001]

@kenvix #45 chrome 和 edge 的应用商店都是没审核的，给钱就能开通开发者账号、上传扩展，谷歌 25 刀、巨硬 19 刀，firefox 也没审核，但至少不要钱

[RoccoShi]

这都能发现 老哥也是人才

[yicong135]

要是没看这贴，还不知道

[cye3s]

Firefox 扩展站和 github 对比过，一样，没加恶意代码，可以放心

[0312birdzhang]

中招+1，感谢分享

[hypogaea]

@legend4 求大神详细科普，我看谷歌商店里的更新日期是在 3 月份啊，应该是更新频率没那么高了吧？前阵子的确是看 GFxList 的作者说是暂停更新了，那么那个 DNS+IP 分流该如何判断呢？

[mywaiting]

刚想找个这样的导流劫持 js 楼主这就送来了~ 感谢~

[yvkino]

感谢

[copymaster]

感谢排雷

[allin1]

@hypogaea 在 gayhub 找 FelisCatus 。issues 里置顶了，作者自己忙没时间弄了，chrome 那个只是谷歌政策要求更新权限，实际跟 2.5.20 没啥变化。火狐那个还是 2018 年那个 2.5.20 版本，两年没更新了

[lilydjwg]

@Jat001 #46 Mozilla 是有审核的，虽然自动化程度比较高。

[hypogaea]

@allin1 哦哦，好吧，去看了更新日期在 2018 年😂，那 GFxList 有替代品吗？还有就是那个 SmartProxy 靠谱吗？

[Jat001]

@lilydjwg #56 人工解这种程度的混淆比较简单，一个有经验的程序员十几分钟就能搞定，但要搞个自动化程序来识别就比较困难了

[jfdnet]

看起来不能装 edge 商店的

[Ansen]

还好我买了 N1 当旁路由