群里流出的避坑清单，我把打着“万里长征小说”旗号的链接的链路追完了：你以为删了APP就安全，其实账号还在被试
前言 最近微信群、QQ群里流传一类看似 innocuous 的阅读/小说类链接，标题里挂着“万里长征小说”“免费看全本”“书友专属”等字样。很多人点击后看到的是一个仿真阅读页面、登录提示或下载引导；有些人果断安装了推荐的“阅读APP”，也有人仅仅点开链接就慌忙把相关应用删掉，以为这样就万无一失。把这条链路逐层拆开后发现，删APP往往只是表面操作——真正能拿走或滥用你账户的，不一定在手机上直接留下可见程序。
我怎么追链路的（方法概述）
- 先在受控环境下复现：用一台备用手机或虚拟机点击链接，记录跳转流向与页面内容。
- 展开短链与重定向链检查：通过短链接展开器、抓包（Charles/Fiddler）、浏览器开发者工具查看每一次跳转和请求头。
- 分析登陆与授权流程：观察是否有OAuth/第三方登录、是否有伪造的输入框、是否使用透明 iframe 或后台脚本窃取凭证。
- 追溯域名与托管：用WHOIS、DNS历史、在线扫描（VirusTotal、urlscan.io）查看域名注册、托管IP与关联域名网络。
- 流量与行为分析：留意是否有请求到已知广告/监控域、是否触发短信/推送、是否请求设备权限（如通讯录、短信、无障碍）。
我看到的常见套路
- 短链→多次重定向→登录劫持页：短链接先躲避检测，然后跳到一个看起来像“阅读器”的页面，弹窗要求用手机号/微信/QQ登录。页面常用透明元素或可伪造的浏览器窗口样式。
- 伪装的第三方授权：显示“使用微信/QQ一键登录”，但其实是个伪造授权页，输入一次手机号与验证码后，页面把验证码或会话数据发到第三方服务器。
- 隐形的后台脚本：页面利用WebView或iframe在用户不知情的情况下发送请求（例如触发短信验证码的接口），或在用户同意某权限后持续获取权限。
- 引导安装“阅读App”作为持久化手段：APP请求过多权限（无障碍、设备管理、读取短信），安装后可以长期拦截验证码、发送信息或获取联系人。
- 数据贩卖/测试账户：有的攻击者并不直接做金融诈骗，而是验证账户是否活跃，收集可转售的账号列表，或用来做短信轰炸/刷量/机器试探。
为什么删了APP并不意味着安全
- 会话与令牌仍可能有效：很多服务在用户端卸载APP并不自动撤销服务器端的会话令牌（access token）。攻击者若已取得令牌或在伪造登录过程中激活了会话，删APP无法让服务器撤销该令牌。
- 第三方授权没被撤销：如果你用微信/QQ/手机号一键登录并授权了第三方应用，撤掉手机上的应用并不会自动撤销你在微信/QQ的授权。攻击方仍可通过已有的授权凭证访问部分资料。
- 手机权限与系统设置：恶意App在获得设备管理或无障碍权限后，可能将自己设为系统服务的一部分或建立持久后门，卸载并非总能清除所有影响（尤其在root或被篡改的设备上）。
- 验证码拦截与手机号安全：攻击者若通过SIM替换（SIM swap）或社会工程获取运营商配合，删除本地应用也无济于事；另外，有些恶意脚本可将验证码转发到攻击者服务器。
- 账号被“试水”或卖给第三方：即便没有立刻被盗用，账号信息与手机号会被列入“活跃账号”名单售卖，后续攻击更有针对性。
如何判断自己是否被利用或泄露
- 登陆异常通知：检查常用服务的登录历史（时间、IP、设备型号）。
- 未授权的第三方应用：在微信/QQ/Google/Facebook 的“授权管理”中查看是否有陌生应用。
- 短信/邮箱异常：收到未发起的验证码、重置邮件或陌生银行/平台通知。
- 银行/支付变动：小额消费、绑卡、绑定新的支付方式等异常记录。
- 通讯录或群发：朋友收到你未发送的邀请/推广链接，或群里出现你不曾发出的消息。
可执行的补救步骤（按优先级） 1) 立即更改关键账号密码，并启动强验证机制：把有可能被关联的邮箱、社交、支付账号优先更换密码并启用二步验证。使用独立、随机密码并让密码管理器填写，能帮助识别假登录页（假页通常无法触发自动填充）。 2) 撤销第三方授权和会话：在微信/QQ/Google/Facebook 等平台的“安全”或“授权管理”中一一撤回不认识或近期授权的应用。同时在每个重要网站执行“退出所有设备”或“结束所有会话”。 3) 查看并关闭可疑设备：在各服务的登录记录里把陌生设备移除或强制登出。 4) 检查手机权限与设备管理：Android 查看“设备管理器/无障碍/通知访问/安装未知应用”权限并撤回；iOS 检查已安装配置文件与描述文件。若发现明显恶意应用或非自己安装的管理配置，优先卸载并重启。 5) 如有金融风险，联系银行/支付平台：申请临时冻结、增加交易确认、开启转账密码或短信确认等。 6) 更安全的恢复方式：若怀疑系统已被深度入侵，备份重要数据后考虑恢复出厂设置或重新刷机；对关键账号使用另一部干净设备进行修改与登录。 7) 留存证据并举报：保留可疑链接、截屏、短信与登录记录，向微信群所在平台、APP商店和网络安全机构举报。
群里与社交场景的自查清单（方便复制粘贴）
- 不随意点击短链接或陌生推送的阅读/下载链接。
- 点开短链前用链接展开器或在线扫描（urlscan/VT）先检查。
- 使用密码管理器，不用手动输入重要密码在可疑页面。
- 别用手机号直接登录要敏感数据的平台，优先选择独立密码+二步验证。
- 群内推送的“内测/下载/免费”链接先问清楚发起者来源或让管理员确认。
- 定期在微信/QQ/Google/Facebook 的授权管理中清理不常用授权。
结语 那条打着“万里长征小说”旗号的链路，表面是一本书的诱饵，其实是把“用户行为”当作可验证资产来收集与出售的工业化流程。短时间删掉一个APP能带来心理安慰，但真正的安全在于主动关闭授权、撤销会话、恢复敏感凭证并提升认证强度。对普通用户来说，把检查与撤销作为常规操作，就能把多数这类“试水”行为挡在门外。