微信虚假中奖网页是这么防止被封的

[faceair]

刚看到有人分享了这么一个假网页





这个网页我之前举报过几次了，但还是没有被完全封掉，就打开电脑追了一下。

打开的链接是 http://www.qdct.cn/%5ckindeditor/attached/file/20170912/20170912002821_8937.html 这个地址， 内容里面包含一个 <script src="//wx.xaguojia.com.cn/jump.php"></script> 的标签。

wx.xaguojia.com.cn/jump.php 网页会生成一个页面地址然后将用户重定向过去，目前的落地页是
http://sfxy.hbpu.edu.cn/UploadFiles/file/20170911/20170911122734083408.html

sfxy.hbpu.edu.cn 是一个学院的二级域名，这个网页里也包含一个 <script src="//wx.xaguojia.com.cn/display.php"></script> 标签。这个 display.php 会向 wx.xaguojia.com.cn/content.php 请求内容并覆盖当前页面 html。

这个页面目前看只是一个小游戏在搞病毒营销，怀疑后续当访问量更大了以后会打开一个什么开关就开始骗钱，最后的页面的 js 模块中有微信支付的一些代码。
所以当用户打开网页时已经经过了几次跳转，这个页面被举报以后后端可以马上换一个新的，所以微信提供的举报按钮用途不大。
不知道微信的同事是否已经注意到了这个问题，希望能有些办法比如举报的时候能自动将用户聊天记录中开始点击的 url 也能一并附过去应该会更好封一些。

[newworld]

这些学校的网站程序漏洞百出 被黑了 挂个黑链 当个跳板都是小 case....管不过来的

[opengps]

我发现很多这种假红包，都是跳转+跳转+跳转+跳转+跳转+跳转+跳转 这样多级跳跃才正式显示的假红包页面

[kmdgeek]

很早开始各种营销 /诈骗网页就是多重跳转各种防微信封的了，感觉微信举报要带上完整的跳转链来分析才行。另外我多数举报都是石沉大海的……

[rootx]

已经被封了。

[phy25]

这个红包界面好熟悉……感觉他们已经把这个做成微信营销产品在卖了，有得赚的点是最后会提示分享朋友圈，分享的就是微商了。而且用跳转的方式真的封不完，我猜微信举报的机制还是有问题，没跟踪到用户分享的地址，而且这个本质上应该封服务号的 JSAPI，估计也没封（有个举报一个多月了，现在页面还没封，服务商自己关了）。

网页分享不带标题字段，效果还有点红包的意思。

[AlwaysBehave]

@kmdgeek 问题是通常而言跳转域名如果是新的都是会有一个非微信官方的提示的（即使是跳转）
他们是怎么弄到这么多过了微信认证的域名的……
我之前验证通过验证的域名现在提示又被加回来了，很气

[kmdgeek]

@AlwaysBehave 非微信官方的提示只出现在非主流后缀域名中，我自己新注册的 com 域名一点问题都没有，me 域名就弹出提示了。

[tvallday]

微信内含图片链接这种机制本来就有问题，自己也没有从技术上封死这些漏洞，只靠用户举报。其他的更注重安全性的社交 APP 就没有这种问题。

[bubue]

但是分享出去的链接不还是真实的地址吗