越想越后怕——91网页版，我当场清醒：原来是假官网镜像——我整理了证据链
前言 上网浏览时偶然点开一个看似熟悉的“91网页版”，一开始界面、logo、文案都像极了官方页面，但越看越感觉不对劲。出于职业敏感，我把这次经历当成一次小型取证过程，最终确认这是一个镜像假站。把整理好的证据链写出来，既给自己一个交代，也希望能帮到遇到类似情况的朋友：遇到可疑站点该怎么判断、如何收集证据、如何处置。
第一印象的几枚红旗 这些直观细节常常是第一轮筛查的依据：
- URL 与官方域名细微差别（字符替换、子域名、额外路径）。
- HTTPS 有绿锁但证书信息异常（签发机构、域名不匹配、证书新近才颁发）。
- 页面资源来自多个不同来源（混用第三方脚本或图片 CDN）。
- 页面加载异常慢或有重复跳转、弹窗过多。
- 表单提交目标与页面域名不一致（表单 action 指向可疑第三方）。
证据链整理方法（按步骤） 下面是我实际操作并保留证据的步骤。每一步都尽量保留原始输出或截图，按时间顺序归档，便于后续提交给平台或执法部门。
1) 保存现场视图
- 截图：完整页面、浏览器地址栏、开发者工具打开时的 Network 面板和 Console 面板。截图要包含时间戳（系统时间可见）。
- 保存 HTML：用浏览器另存为完整网页，或用 curl -L -o page.html "https://可疑域名" 保存源码。
- 抓包：在可控网络环境下用 Wireshark 或 Fiddler 抓包（仅抓取与页面相关的流量），导出 pcap 作为网络层证据。
2) URL 与域名信息核验
- whois 查询：whois 可疑域名，记录注册时间、注册商、注册人信息（若被隐私保护可看到注册商与注册时长）。
- 域名历史：用 Wayback Machine（web.archive.org）查看历史快照，有助判断这是近期克隆还是长期存在。
- 子域名/重定向：用 curl -I 或浏览器观察是否有 301/302 重定向到第三方。
3) DNS 与 IP 证据
- dig/nslookup：dig +noall +answer 可疑域名 A/AAAA/CNAME 记录，记录解析到的 IP。
- 反向查找：通过 IP 查询同一 IP 上还托管了哪些域名（可以借助 Shodan、Censys、SecurityTrails 等），看是否大量与钓鱼相关的域名集中在同一 IP。
- 地理与机房：记录 IP 的地理位置与托管商信息（IP 栈提供商、云服务商，常见的滥用者托管模式容易暴露端倪）。
4) HTTPS 证书与证书透明日志
- openssl s_client -connect 域名:443 -showcerts 查看证书链，记录签发机构、有效期、证书主体（CN/SAN）。
- crt.sh 查询：把域名或证书序列号放到 crt.sh，查看是否有大量类似域名的证书被签发（钓鱼站常用自动签发的通配证书）。
- 注意：绿锁并不代表可信，不同的证书颁发者与证书信息有时可以揭示异常。
5) 页面内容比对与脚本检查
- 文本比对：将可疑页面与官方页面的 HTML 做 diff，标出新增或修改的表单、隐藏域、外部脚本引用。
- JS 检查：注意是否有可疑的外部脚本（通过 network 面板或查看 script src），或页面中有明显的钓鱼提交逻辑（XHR 提交到第三方域名）。
- 资源来源：图片、字体、脚本是否全部来自自己域名，还是混用第三方可疑域名或匿名 CDN。
6) 安全扫描与数据库查询
- VirusTotal / URLhaus：将 URL 提交给 VirusTotal/Google Safe Browsing/URLhaus，查看是否已有举报或被黑名单收录。
- WAF/CDN 指纹：有时通过 HTTP 头能看出使用了哪些云服务或 WAF，记录 Server、CF-Cache-Status、x-amz-request-id 等头部信息。
7) 提交与保存证据
- 归档：把所有截图、终端输出、抓包文件、whois、dig 输出、证书信息按时间顺序存档（建议压缩为 zip 并计算哈希值以防篡改）。
- 报告：写一份简短的证据报告，列出发现时间、怀疑理由、技术证据（附上关键日志或截图位置）和建议后续处理步骤。
我在本次事件中收集到的核心证据（示例性叙述）
- 地址栏截图：显示域名为 “91-web[点]example” 而非官方主域名，字符替换容易忽视。
- whois 输出：域名注册时间距今不到两周，注册商使用隐私保护。
- dig 输出：域名解析到某公共云 IP，同时同 IP 上存在大量相似结构的可疑域名。
- openssl 输出：证书由 Let's Encrypt 在最近几天签发，SAN 中包含多个同模式域名。
- HTML diff：可疑页面在登录表单中将 form action 指向了一个第三方 API 域名，而不是官网的处理脚本；同时包含混淆过的 JS，用于拦截输入并 POST 到该第三方域名。
- VirusTotal：对 URL 的检测结果显示部分引擎标记为 phishing。 这些证据综合起来，构成了“镜像假站并收集用户凭证”的强烈指向。
如何向外部机构或平台举报
- 向浏览器厂商提交：Chrome、Firefox 等都有“报告欺诈网站”入口，将 URL 与关键截图、证据报告一并提交。
- 向搜索引擎和托管商报告：Google Safe Browsing 报告页面、域名注册商或云服务商滥用报告页。
- 向原官网或品牌方汇报：把证据链和归档发送给官方客服或安全邮箱，方便对方采取法律或技术措施。
- 向本地 CERT/公安网络犯罪部门报案（若涉及重大财产损失或大规模钓鱼）。
给普通用户的速查清单（3分钟判断）
- 看地址栏：字符替换、拼写错误、额外子域名。
- 看证书：点锁形图标查看证书主体是否与预期域名一致。
- 看表单提交目标：右键查看表单 action 或用开发者工具看 Network 面板。
- 不输入敏感信息：怀疑时不要登录、不要输入短信验证码、不要填写支付信息。
- 使用书签或通过官方渠道访问：尽量通过收藏或官方入口，而不是搜索结果或第三方链接跳转。
若已经泄露了信息，接下来的应对
- 修改密码：先在官方站点通过官方渠道修改相应账号密码，开启二步验证。
- 密码管理：若使用相同密码的其他服务，一并更改。
- 监控账户：查看交易记录或登录记录，异常就立刻冻结或申诉。
- 报案与协助官方：保存好你所能提供的证据（如可疑页面截图、邮件、短信），便于调查。
结语 这次“91网页版”的假站事件提醒了我：外观相似并不等于可信。技术细节往往藏在证书信息、域名注册、表单目标和外部资源中。把每一步都当成可验证的证据来保存，既能保护自己，也能在必要时协助官方处理。下次遇到“眼熟但怪怪的”页面，先按上面的清单快速核验一遍，会更安心。
需要我把我收集证据的命令和截图模板整理成一个可直接下载的检查清单吗？
