TYCPlatform 视觉覆盖型 Cloaking 技术案例研究

Executive summary

先说结论

tycplatform.com 不是单一页面。它同时维护两套面对不同观察方式的内容：底层是复制并机械替换品牌词的高校网站，地址栏、Title、H1、新闻栏目和大量内部链接都保留在主域；最上层则用一个占满视口、固定定位、极高 z-index 的 iframe，把真人访客看到的界面替换成第三方博彩排行榜。

Observed architecture

真实三层架构

Evidence ledger

现场证据

Chrome 中读取到的首层 iframe

<iframe
  src="https://wt2bcnqf.86055.wang/1thku59g.php"
  scrolling="auto"
  style="width:100%; height:100%; border-style:none; background:#fff;"
></iframe>

覆盖容器的计算样式

position: fixed;
top: 0;
left: 0;
width: 100%;
height: 100%;
z-index: 2147483647;

这意味着覆盖容器固定在浏览器视口，不随底层页面正常滚动，并处于几乎最高的堆叠层级。地址栏仍显示主域，但鼠标、触屏和滚轮实际上落在 iframe 内部页面上。

底层内容并未消失

即使 Web UI 被覆盖，主页面 DOM 仍然可读取以下栏目和页面：

• 教职员工
• 科学研究／科研动态
• 教育教学
• 党群工作
• 学生工作
• 北京大学地外样品研究中心成立大会举行

Visual evidence

Google 排名与网站内页现场截图

以下截图均采集于 2026-08-23。点击图片可打开原始分辨率。Google 位置会随地区、时间、设备和账户环境变化；本次采用香港地区、简体中文、pws=0 的查询参数。

自然结果 #8

真人可见层

内页底层

内页底层

Ranking mechanics

排名可能由什么推动

2026-08-23 在香港 Google、简体中文、pws=0 环境下搜索“线上赌博网”，该域名位于首页第八个自然结果。位置会随地区、设备、时间和账户环境变化。

Implementation analysis

技术手段拆解

手段一：整站镜像与机械替换

页面保留了高校建站系统常见的资源结构，如 _sitegray、system/resource/js、wbnews、index.vsb.css，同时原学院名称被替换成“太阳城网络赌博平台”。浏览器中未发现负责全局文本替换的 replace() 脚本，且资源已经指向新域名，因此更符合“抓取后离线批量处理，再部署到新域”的模式。

原始内容：北京大学地球与空间科学学院李明松团队发表研究成果
替换映射：北京大学地球与空间科学学院 → 太阳城网络赌博平台
处理结果：太阳城网络赌博平台李明松团队发表研究成果

机械替换会留下明显语义异常，例如“关于太阳城网络赌博平台拟录取研究生党员”“北京大学关工委来太阳城网络赌博平台调研”等。

手段二：视口级固定覆盖

主域在底层内容上方创建一个全屏固定容器，并把 iframe 放入该容器。关键不是 iframe 标签本身，而是父容器的 position:fixed、全宽高和极高 z-index。这会让地址栏、父页面 Title 和父页面 DOM 保持不变，同时把可视、可点击区域交给跨域页面。

手段三：两级 iframe 解耦

主域并未直接嵌入最终广告站，而是先加载 86055.wang，再由中转页加载 xedoe.com。这种解耦通常用于让排名域与频繁变化的展示内容分离。当前证据能够确认加载链，但不能仅凭前端观察断言后台具体使用了何种域名轮换控制台。

手段四：主域内容与展示域职责分离

WHOIS correlation

域名与基础设施关联

三个域名使用完全相同的 Cloudflare Nameserver 对；其中主域和中转域还使用同一家 Gname 注册商。结合实际 iframe 链，这是强关联信号，但 WHOIS 国家字段可能来自隐私服务或不同注册资料，不能当作真实经营所在地。

Detection playbook

为什么只看 Web UI 会漏判，以及怎样检测

1. 同时记录地址栏与最终可见品牌。地址栏显示 tycplatform.com，但可见页品牌和站内链接来自 xedoe.com，这本身就是异常。
2. 列出所有 iframe。不要只检查顶层 DOM；递归检查每个 frame 的 src、尺寸、定位与下一层 frame。
3. 检查固定覆盖元素。重点查找 position:fixed、接近视口的宽高、异常大的 z-index 和透明/无边框 iframe。
4. 比较 DOM 文本与截图/OCR。本案 DOM 是高校科研内容，截图却是博彩排行榜，两者差异极大。
5. 比较未渲染 HTML 与完整浏览器渲染。命令行抓取、浏览器 DOM、无障碍树、网络请求和截图必须交叉验证。
6. 查看 Network frame initiator。确认 iframe 是静态 HTML、外部脚本、内联脚本还是运行时接口注入。
7. 核对域名年龄、NS与注册商。新注册落地域、完全相同的 NS、相似注册商是基础设施关联信号。
8. 抽查内页。检查教师、科研、招生等页面是否真实属于该主体，还是从权威机构复制。

前端检测示例（只读）

// 在授权的测试环境或 DevTools Console 中执行
[...document.querySelectorAll('iframe')].map((frame) => {
  const frameStyle = getComputedStyle(frame);
  const parentStyle = frame.parentElement
    ? getComputedStyle(frame.parentElement)
    : null;

  return {
    src: frame.src,
    framePosition: frameStyle.position,
    parentPosition: parentStyle?.position,
    parentZIndex: parentStyle?.zIndex,
    rect: frame.getBoundingClientRect().toJSON()
  };
});

建议自动化告警规则

• 跨域 iframe 覆盖超过视口面积的 80%。
• iframe 父层 position:fixed 且 z-index 大于 100000。
• 父页面文本主题与 iframe 页面主题明显不一致。
• 地址栏域名与页面主要 CTA 的目标域完全不同。
• 搜索摘要声称提供 A，实际可见页面只提供 B。
• 新注册域名声称拥有不合理的历史、用户量或互动量。

Blocking and resilience

封哪个域，会发生什么

Safe laboratory reproduction

给技术人员的安全研究实现方案

如需验证检测逻辑，应只在本机或隔离测试域中复现，不使用真实博彩内容、不配置搜索引擎收录、不接入外部跳转，也不实现域名轮换。建议建立三个本地静态页面模拟三层关系。

实验目标

• 验证普通截图只捕获最高层内容。
• 验证顶层 DOM 文本仍可被读取。
• 验证检测器能递归发现第二层 iframe。
• 验证固定定位、覆盖面积和 z-index 告警。
• 验证网络请求日志能还原完整 frame chain。

必须加入的隔离措施

• 所有页面添加 <meta name="robots" content="noindex,nofollow">。
• 仅监听 127.0.0.1，不绑定公网接口。
• 不使用真实品牌、真实用户数据、推广链接或第三方追踪脚本。
• 实验结束后关闭本地服务，不上传到生产主机。

Incident response

取证与处置建议

1. 固定证据。保存SERP截图、地址栏、整页截图、DOM快照、iframe树、网络HAR、WHOIS和DNS结果，并记录时区和时间。
2. 分别保存三个层级。主域、中转页和最终展示页都应单独记录，避免某一层更换后证据链断裂。
3. 联系原内容权利方。本案底层内容与北京大学地球与空间科学学院页面高度对应，可由原站确认复制与冒用情况。
4. 向Google提交搜索垃圾报告。重点描述批量复制内容、误导性展示、门页、隐藏真实落地页和链接网络。
5. 如涉及欺诈或恶意下载，提交 Safe Browsing 报告。不要把一般低质量SEO与恶意软件报告混为一谈，应按实际证据选择类别。
6. 向CDN、注册商和主机商报告完整加载链。单独提交最内层域名容易遗漏父域的主动嵌入行为。
7. 持续监控父域。即使子域失效，也要监控 iframe src、外部脚本、DNS和页面视觉变化。

建议记录的 IOC

• www.tycplatform.com
• wt2bcnqf.86055.wang
• /1thku59g.php
• xedoe.com
• joyce.ns.cloudflare.com
• mustafa.ns.cloudflare.com
• dzpclub.com
• kfyl8.com
• yongligj.com
• dzpt88.com

Sources and limitations

来源与限制

• 案例主域：tycplatform.com
• 北京大学地球与空间科学学院原站
• WHOIS.com：tycplatform.com
• WHOIS.com：86055.wang
• WHOIS.com：xedoe.com
• Google Search 垃圾内容政策
• Google Search Essentials

本报告反映 2026-08-23 的公开页面状态。域名内容、iframe目标、DNS、排名和WHOIS资料可能随时变化；Google排名截图仅代表当时香港查询环境，不代表所有用户的固定位置。WHOIS中的国家字段可能来自隐私代理。关于反向链接强度的判断尚未通过付费 backlink 数据库验证。