91黑料：所谓“爆料”——其实是二维码陷阱——我整理了证据链
近来看到很多所谓“爆料”以二维码形式传播，点开后不是新闻而是陷阱：钓鱼登录、未知应用安装、伪造支付页面或盗取信息的脚本。作为长期关注网络欺诈与证据收集的人，我把一套可重复的证据链整理出来，既方便个人自检，也方便在必要时向平台或执法机关提交可核验的材料。
一、典型流程（一句话看清楚） 有人把二维码贴到社交平台/论坛/二维码集合页 → 扫描或点击后经过短链/重定向 → 跳转到伪造页面或触发下载/权限提示 → 诱导输入信息或自动执行脚本。
二、二维码陷阱的常用手法（简要）
- URL 短链与多级重定向：隐藏真实域名，绕过简单过滤。
- 仿冒登录/支付页：外观逼真，提交即窃取凭证。
- JS 动态加载和混淆：代码在客户端运行，很难一眼看出恶意。
- 利用浏览器/系统深度链接：直接唤起 APP 或触发安装。
- 社会工程学：制造紧急感/利益点，逼用户操作。
三、我整理的“证据链”清单（每一项都能助力验证）
- 原始二维码图片（原图，带时间戳）
- 解码后的内容（URL 或文字），以文本保存一份
- 点击/扫描后的完整跳转链（HTTP 重定向记录）——可以用 curl 或 urlscan.io 获取
- 最终页面截图（移动端与桌面端各一）和页面 HTML 源码（另存为 .html）
- 浏览器网络抓包文件（HAR），记录所有请求与响应头
- 可疑文件或安装包的哈希（SHA256），便于病毒扫描比对
- 域名 WHOIS、SSL 证书信息（crt.sh）、主机 IP 与地理位置
- 第三方安全扫描报告（VirusTotal、urlscan.io）与截图或 URL
- 社交传播证据（截图、帖子的时间线），便于还原传播源
- 个人操作日志（时间线说明：我在几点扫描/打开/截图/提交给谁）
四、如何技术上获取这些证据（实用指令/方法）
- 解码二维码：推荐先拍照，不直接点开链接；用在线解码器（如 zxing 的 decoder）或带“显示 URL 不自动打开”功能的扫描器。
- 查看重定向链：在安全环境下使用 curl，比如： curl -I -L -s -o /dev/null -D - "http://短链.example" （保存响应头与 Location 字段）
- 导出 HAR：Chrome/Edge 开发者工具 → Network → 记录 → 保存为 HAR。
- 保存页面与源码：浏览器“另存为完整网页”，并计算文件哈希（sha256sum/file hash）。
- 查询域名与证书：crt.sh、whois、dig、在线 IP 查找工具。
- 第三方扫描：把 URL 或样本提交给 VirusTotal、urlscan.io，保存报告链接与截图。
五、分析与判断要点
- 重定向次数与中转域名越多，越可疑。
- 实际登录/支付域与短链显示域不一致时，要警惕仿冒。
- 页面要求不合常理的权限（例如网页要求安装 APK）是红旗。
- 第三方扫描出现多个安全厂商报毒或恶意评分时，说明风险高。
- WHOIS/证书信息若刻意隐藏或频繁变更，通常用于规避追查。
六、如果需要对外发布“爆料”时的证据组织建议
- 按时间线呈现事件（扫描—跳转—截图—提交第三方扫描），每一步保留原始文件。
- 附上第三方扫描与 WHOIS/证书查询结果的可查链接，便于他人核验。
- 避免主观揣测犯罪动机：把事实、证据和可验证结论摆出来，让读者和平台自行判断。
- 如需曝光具体主体，先尽量联系平台/托管商要求下架或回应，并保存交互记录。
七、中招了怎么办（简短清单）
- 立即断网或关闭相关应用，保存所有证据（截图、HAR、样本）。
- 如果泄露了账户凭证，第一时间更改密码并开启多因素认证；通知相关金融机构。
- 将样本提交到 VirusTotal 等，向平台/主机商提交滥用举报（abuse@host）并保留回执。
- 必要时向警方报案，并提交上述证据链。
八、常用工具一览（快速参考）
- 解码/分析：zxing decoder、QR reader（显示 URL）
- 网络抓包/重定向：curl、Chrome/Firefox DevTools（HAR）
- 第三方检测：VirusTotal、urlscan.io
- 域名/证书：whois、crt.sh、SecurityTrails、Shodan、IPinfo
