记一个有趣的防红网站反复横跳
（也没有什么可以多级标题的就直接不分了吧）**起因**
---
朋友给我发了个网址
兴冲冲的打开，结果跳转了好几次，是一个视频。。。
emmm算了。。。画面一出来对视频本身就失去了兴趣。。。
还是分析一下这个《专业防洪》吧
> 注：本文所有`洪`均为`红`字的谐音
分析
---
访问原始链接：hxxps://mr.baidu.com/KJd?????7e
重定向到：hxxps://m.baidu.com/56We56eY5Lq6/tc?bdver=2&bdenc=1&bdcl=3&nsrc=hxxp%3A%2F%2Fwww.baidu.com%2Flink%3Furl%3D
URL解码（啊其实这步浏览器帮忙做了），访问
重定向到hxxp://www.baidu.com/link?url=a3f48d阿巴阿巴6d
再访问
重定向到hxxp://static.hd.weibo.com/alk/avatar/IMG_CROP_xxxxxx.png#khy
诶？看起来好像应该是微博的头像图床，看起来还是个XSS
访问一下
（果然）
诶？还有一层垃圾加密？
（AST还原一下）
```js
$.ajax({
'url': "http://abc.cde/xhs.php?callback=?&id=" + window.location.hash.replace('#',''),
'type': "post",
'dataType': "json",
'success': function (res) {
window.location.replace(res.url);
}
});
```
唔，这次是最后一层了吧
看一下请求。。。
。。。。你说你这要是放在正道上那才是正道的光呢。。。你看你这都几家了=_=
再访问。。
这个重定向有点意思😏利用`@`绕过域名的限制
终于到最后了
又是加密。。。你烦不烦。。。解开看一下
```js
player({
'url': "http://picasso-qiniu.xiaohongshu.com/athena-creator/" +window.location.hash.replace('#', ''),
'title': dec('bt')
});
function dec(id) {
var matched = window.location.search.substr(1).match(new RegExp("(^|&)"+id+"=([^&]*)(&|$)", 'i'));
if (matched!= null) return decodeURI(matched);
return null;
}
```
终于，最后一层。
是一个m3u8文件，拿`Play HLS`插件或者[逍遥哥](hxxps://www.52pojie.cn/home.php?mod=space&uid=293382)的(hxxps://www.52pojie.cn/thread-1631141-1-1.html)或者类似的m3u8 DL-CLI下载器都可以下载。。。
此外！链接全部打码处理是因为左后一个js很诡异，先不谈链接多了一个.无法访问，
去掉之后，现在访问显示`临时域名`，不知道有啥用，不清楚是不是什么后门。。。
**后记**
---
这一个网页用了几层（我数不清了）跳转。。。
涉及了`百度`、`网易`、`新浪`、`小红书`，就为了传播一个视频。。。。
还涉及到绕过域名检测，绕过后缀检测。。。
也是蛮拼的=_= ms6666 发表于 2022-8-10 01:54
那个js加密我记得以前站长说的是解开奖十万，现在改成了“加密后非专业人士解密不开”
不是10万，是100万。。。。
之前那个站长还找过我来着{:301_1009:}
说他不相信能一键解开，要跟我赌100万，不给是孙子
我当时是纯正则表达式解的。。。
也不知道那一百万现在花落谁手了（或者他发现解开的人太多了？）
以前反正写的是耶稣都解不开
学习了
大佬牛逼 那个js加密我记得以前站长说的是解开奖十万，现在改成了“加密后非专业人士解密不开” 学习了
大佬牛逼 感谢分享 学习了
大佬牛逼 大佬牛逼
学习了
大佬牛逼 摔的跟个假人似得 感谢分享！ 我觉得可以逆向这想，这个可以做防洪 防洪这两年蛮拼的