我顺着短链追到了源头：这种“分享群”可能在用“恢复观看”逼你扫码，你以为关掉就完事，其实还没结束

我顺着一个短链一路追到源头，发现很多“分享群”里流行的那套操作并非单纯为了“方便补看”。表面上是“恢复观看/继续播放”，实则在诱导你扫码、加人或授权，关掉弹窗后也可能留下被追踪或被拉进更深的链条。下面把我复盘的过程、技术细节和可操作的防护与补救步骤整理出来，方便你一看就能用。

一、这个套路长得什么样？

• 群里发一个短链（或二维码截图），配文很像“上次没看完点这里恢复观看/点我接着看”。
• 打开短链先是跳转到一个中间页，页面样式模仿视频播放器，显示“恢复播放/继续观看”按钮。
• 点按钮后出现一个二维码或要求“扫码关注/加微信好友以继续观看”，页面会提示“扫码后即可恢复观看”。
• 关掉页面或返回，有时看似结束，但你可能已经留下了信息（浏览器指纹、设备ID、IP）或被诱导关注了某个公众号/加了某个微信号，进而被拉入新的推广/诈骗链条。

二、背后的常见技术与目的（通俗解释）

• 短链的作用：隐藏真实落地页，绕过平台检测，追踪点击数据。
• 多重跳转：通过一连串重定向（有时经过多个域名）来隐藏最终目的并混淆来源。
• 仿真播放页与“恢复观看”按钮：社工设计，降低警觉，增加扫码的可能性。
• 二维码/扫码流程：扫码可能会触发三类行为——跳转到公众号（要求关注）、弹出微信添加好友确认（可能带来源备注）、跳到支付或授权页面（要么直接骗钱，要么获取手机号码/权限）。
• 站外追踪：扫码后可能被要求输入手机号或授权，从而把你放到短信订阅、电话骚扰或社群推广列表里。
• 持续骚扰：即使你关掉页面，攻击方已收集的指纹、IP和任何你主动提供的信息足以继续向你推送垃圾内容或通过社工尝试更进一步的欺诈。

三、我怎么追踪短链源头（可复用的步骤） 1) 先别直接扫码。把短链复制下来。 2) 用短链展开工具查看最终URL（在线工具：checkshorturl、ExpandURL、或者在命令行用 curl -I -L 查看重定向链）。 3) 用浏览器无痕/沙箱打开观察跳转过程，同时开启开发者工具的 Network（网络）面板，记录每一步重定向的域名和请求参数。 4) 复制最终落地页的域名去 VirusTotal、Whois 查询、crt.sh（证书），看域名注册时间、历史和是否有恶意报告。 5) 如果页面是脚本驱动，查看页面源码或 Network 的 JS 文件，寻找类似“scan”“subscribe”“openwx”或二维码生成/跳转逻辑。 6) 从中间域名往上追溯，通常会找到负责分发短链的某个“采集/引流”平台或批量发放的公众号/小号集合。

四、识别危险的几个细节信号（一眼就能判断）

• 点击后立即要求扫码并承诺“解锁/恢复/免费看”。
• 落地页与原内容来源不匹配（域名、页面风格、广告堆积）。
• 一长串奇怪参数（例如含 base64、token、deviceId、openid 等）并反复重定向。
• 域名刚注册不久、WHOIS 隐私保护、或者被多个安全厂商标记过。
• 页面要求填写手机号、授权某个公众号或添加微信号做“验证”。

五、碰到这类短链/扫码后你该怎么做 如果还没扫码：

• 别扫码。先用上面的方法展开和查询。
• 在沙盒或另一台不关联个人账户的设备上测试（如果你确实需要验证链接安全性）。
• 向群里提醒其他人并截图保存证据，必要时举报给平台（QQ/微信群/Telegram/Reddit 等）和短链服务商。

如果已经扫码或关注了：

• 立刻取消关注/删除加的好友；在微信中检查“通讯录->公众号/已关注”并取关；在“设置->隐私/授权”里撤销对不明服务的授权。
• 更改关联账户的重要密码（尤其是如果你在扫码后输入过手机号或密码）。
• 检查手机是否被安装了不明应用或授权（Android 的“设置->安全与隐私->应用权限”，iOS 在“设置->隐私”查看）。
• 若扫码后接到可疑短信或要求付款的提示，勿支付，保存聊天记录并向运营商/银行报告。
• 若受到了骚扰或诈骗损失，向当地警方报案并上传证据。

六、如何保护自己——日常防范清单

• 对群里发的短链保持疑心，尤其是无人署名或来源不明的链接。
• 不要用个人主账号在陌生网页做验证或扫码。
• 给常用账号启用两步验证；手机短信/银行授权保持警惕。
• 安装并启用浏览器的隐私/追踪阻止插件，关闭第三方cookie。
• 用 URL 展开工具、VirusTotal 等先查域名信誉。
• 学会用开发者工具或简单命令查看重定向链（curl -I -L 可看到所有跳转）。
• 用能显示真正 URL 的扫码工具，不要盲目用系统相机直接跳转。很多扫码应用会先显示链接让你确认再打开。

七、遇到这种情况时给群里劝阻的一句话（方便复制）

• “大家别随便点短链或扫码了，我测试了这类链接会先把人导到不明落地页并要求扫码关注，可能会被拉进推广或信息池，谨慎为上。”

八、结语 这类“恢复观看→扫码”的流程并不新，但社工话术和技术包装不断翻新。关键不是吓你，而是让你知道有套路可查、有方法可用。离开群、删链接只是第一步；查清重定向链、撤销可能的授权并留存证据，才能把风险真正切断。碰到类似情况，按上面那些具体步骤操作，会比“关掉就算了”安全得多。