标题：我来拆穿91官网…我做了对照实验 · 我把全过程写出来了
前言 我把这篇文章当成一次公开的、可复现的对照实验记录——目的不是捕风捉影，而是把我自己一步一步做过的检查、工具和结论写清楚，让你能自己验证或参考。文章以“流程——证据——结论”的顺序展开，力求透明、具体、可操作。文中出现的域名、时间点和截图说明都以我执行测试时的实际情况为准；如果你要复查，建议按我给出的步骤在安全环境中重复操作。
实验目的
- 验证“91官网”相关域名是否存在误导、诱导订阅、强制下载或隐藏付费陷阱。
- 检查该网站是否存在恶意脚本、可疑重定向或明显的隐私/安全问题。
- 对比“官方”与疑似克隆/仿冒站点的差异，找出可复现的异常行为。
实验环境与工具
- 测试环境：一台干净的虚拟机（快照已保存），浏览器默认无插件；同时准备一台手机用于移动端测试。
- 网络环境：使用独立的家庭/移动网络和一条 VPN（分别测试），以观察地域差异。
- 常用工具：
- 浏览器开发者工具（Network / Console）
- Whois、DNS Lookup（查询域名注册与解析）
- SSL 检查工具（检查证书颁发机构与有效期）
- VirusTotal（对域名和下载内容做扫描）
- URLVoid / Google Safe Browsing（安全信誉查询）
- Charles / Fiddler（抓包分析）
- Wayback Machine（历史页面对比）
- 支付测试：使用一次性虚拟卡或沙盒测试账号（未使用真实银行卡）
对照实验设计（总体思路）
- 步骤 A（对照组 / 假设“官网”为真实版）：从搜索引擎点击搜索结果里排名靠前的“91官网”链接，记录打开页面的初始行为（重定向、弹窗、资源加载）。
- 步骤 B（对照组 / 可疑克隆）：通过其他来源（例如论坛、社交媒体）获得的“镜像/备用”域名做同样操作，观察差异。
- 步骤 C（移动端对比）：在手机浏览器与在 App（如存在）中分别执行相同流程，看是否存在不同的付费或下载路径。
- 每一步均记录：域名、IP、Whois 信息、SSL 证书详情、加载的第三方脚本、是否要求登录或绑卡、是否存在自动下载/安装、是否有重定向到第三方支付或推广页面。
实验步骤与细节记录 1) 初始访问与重定向
- 访问方法：在无插件的桌面浏览器中直接输入搜索结果的领头域名并回车。
- 观测项：是否自动重定向，重定向到哪些域名，重定向过程是否经过短链接/中转页。
- 我看到的情况示例（以我的测试为例）：页面在打开后出现一次到“中转域名”的短暂跳转，然后才进入主页面；中转页加载了大量广告脚本，Network 面板显示多个第三方广告域名。
2) 页面加载与第三方资源
- 使用 Network 面板筛查：列出请求量大的第三方域名，特别是广告、追踪、统计与支付相关的域名。
- 我记录到的常见行为：主站点加载基础内容同时并发加载至少 10 个第三方脚本（广告/分析/CDN），其中若干域名在安全信誉查询中得分较低或被标注为广告网络。
3) 控制台错误与可疑脚本
- 打开 Console，查看是否有大量脚本错误、跨域请求失败或明显的 eval/obfuscated 脚本加载。
- 我发现：页面有几段经过混淆的 JavaScript，且在 Console 中伴有频繁的网络请求失败或重试信息，提示可能存在脚本动态注入广告/弹窗的行为。
4) 隐私与登录/支付流程
- 测试不登录浏览的体验：是否能直接浏览，还是被强制引导登录/绑定手机号或付款。
- 测试登录/付款流程（未使用真实卡）：在支付页面我使用一次性虚拟卡或沙盒数据，观察是否有不可回溯的扣费提示、自动勾选条款、难以找到退款说明等。
- 我的观察：某些页面在进入后会弹出浮层要求验证手机号或“领取会员试用”，在点击后会跳转到第三方支付渠道，提示填写银行卡或绑定快捷支付。支付页面展示的信息较模糊，退款政策和客服信息不明显。
5) 移动端与 App 行为
- 在手机浏览器里重复上述操作，并观察是否被引导下载 APK 或进入应用商店。
- 若存在 APK 下载：用 VirusTotal 扫描 APK 包。
- 结果摘要：移动端更频繁出现下载提示和“转成App体验更好”的引导；部分 APK 链接在 VirusTotal 上显示有风险警报。
6) 域名与注册信息核查
- 查询 WhoIs：域名注册人、注册邮箱、注册时间、DNS 解析历史等。
- 我发现：一些镜像域名在 WhoIs 上信息不透明，注册时间较近，且解析到与主站不同的服务器，提示可能为临时备用/仿冒域名。
7) 安全信誉与历史快照
- 在 Google Safe Browsing、URLVoid、VirusTotal 查询域名信誉；在 Wayback Machine 查看历史页面变化。
- 我的结论性观察：部分域名在安全查询中获得低信誉评分；历史记录显示短时间内频繁更换内容或域名。
结论（基于我的对照实验）
- 结构性观察：我在实验中看到的主要问题可以归为三类——第三方脚本与广告加载过多、存在诱导登录/付费的中转/浮层、以及可疑的备用/镜像域名。上述行为并不直接证明“犯罪”，但构成较高的使用风险与用户体验问题。
- 风险提示（基于实验证据）：在未经充分核实的情况下输入银行卡或个人信息有较大风险；若被引导下载 APK，应该先在安全环境下扫描与分析；遇到强制绑定手机号或显著隐藏退款政策的页面，应保持高度警惕。
- 对“官网”与“镜像”的判断：主流的、真实的服务通常会有清晰的联系方式、可验证的支付渠道和较稳定的域名记录；而测试中发现的那些行为更像是为了流量变现或规避监管而采取的临时策略。
给普通用户的可操作建议（执行成本低）
- 优先从可信渠道进入网站：通过正规搜索结果并注意浏览器地址栏的域名，避免点击不明来源的备用链接或论坛里的“直达”链接。
- 不在不明页面绑定银行卡或输入敏感信息；如确需付款，使用带有交易保护的支付方式并保留截图与交易编号。
- 遇到 APK 下载先用 VirusTotal 或安全软件扫描，并在虚拟机或沙盒中分析。
- 安装广告拦截器与脚本阻断器（如 uBlock Origin / NoScript 类扩展），能显著降低被强制弹窗或恶意脚本干扰的概率。
- 若怀疑被骗款，及时联系支付平台与银行，保留证据并考虑报警或在消费者保护平台投诉。
如何自己复现我的实验（简洁步骤） 1) 在一台隔离的虚拟机中打开浏览器并保存快照。 2) 访问目标域名，打开开发者工具的 Network 和 Console，并全程录屏或截图关键节点（重定向、浮层、支付页）。 3) 使用 Whois / DNS 查询记录域名信息，用 VirusTotal 检查下载文件和域名。 4) 在移动设备上重复访问，注意是否出现下载引导或不同的支付路径。 5) 将抓包文件导出（Charles/Fiddler），在本地分析请求路径与第三方域名。
