☰

百度网盘限速解除 was reported 29-10-2026 for Illegal content

Người báo cáo nói:

对该 UserScript（油猴脚本）代码进行安全审计后，可以明确得出结论：该脚本存在严重的安全隐患、隐私泄露风险以及多项恶意/欺骗性特征。

以下是具体的安全分析与风险项拆解：

1. 严重高危安全漏洞：向页面公开提权 API（沙箱逃逸风险）

在脚本的核心逻辑中，存在如下代码：

var _GM_xmlhttpRequest = /* @__PURE__ */ (() => typeof GM_xmlhttpRequest != "undefined" ? GM_xmlhttpRequest : void 0)();
var _GM_cookie = /* @__PURE__ */ (() => typeof GM_cookie != "undefined" ? GM_cookie : void 0)();
// ...
const $GM = {
    GM_cookie: _GM_cookie,
    GM_xmlhttpRequest: _GM_xmlhttpRequest,
    // ... 其他所有高级权限
};
unsafeWindow.$GM = $GM;
window.$GM = $GM;
  • 风险原理：Tampermonkey 等脚本管理器设计了严格的沙箱机制，以防止普通网页脚本访问具有跨域网络请求（GM_xmlhttpRequest）和读取 Cookie（GM_cookie）的高危特权接口。
  • 危害后果：该脚本将所有核心 GM_* API 直接挂载到了宿主页面的全局对象 unsafeWindow.$GM 上。这意味着当前页面中运行的任何第三方广告、第三方统计脚本或 XSS 攻击代码，均可直接调用 window.$GM.GM_xmlhttpRequest，从而完全绕过浏览器的同源策略（SOP），在用户不知情的情况下以用户身份向任意网站发送请求、盗取敏感数据或窃取 Cookie。

2. 滥用高危权限（@connect * 与 @grant GM_cookie）

在脚本头部的元数据配置中：

// @connect baidu.com
// @connect 127.0.0.1
// @connect *
// @connect localhost
// @grant GM_cookie
// @grant GM_webRequest
// @grant GM_xmlhttpRequest
  • 声明了 @connect *，表示允许脚本向互联网上的任意域名发起跨域请求。
  • 结合 @grant GM_cookie 与暴露给 unsafeWindow 的漏洞，这构成了一个开放的跨域代理通道，极易被利用进行凭据窃取与数据外传。

3. 用户数据与私有文件泄露（自动生成分享链接并外传）

脚本声称的功能是“利用百度网盘极速下载券，实现极速下载”，但在实现机制上：

async getShareLink(ancestorTr) {
    if (ancestorTr) {
        const shareIcon = ancestorTr.querySelector('.u-icon-share');
        if (shareIcon) {
            shareIcon.click();
            await $utils.sleep(2000);
            document.querySelector(".wp-share-file__link-create-ubtn").click()
            await $utils.sleep(2000);
            // 自动关闭弹窗并获取分享链接
            const link_txt = document.querySelector(".copy-link-text").innerText;
            return link_txt;
        }
    }
}
  • 行为分析：当用户在网盘中点击“极速下载”时，脚本实际上是通过模拟用户点击，私自将用户的网盘文件生成公开分享链接。
  • 数据外传：随后通过 openDownloadWindow，将用户的网盘分享链接以 URL 参数（x=finalShareUrl）明文发送到第三方私人服务器 https://dajiaoniu.site。
  • 隐患：若用户下载的是网盘中的私密文件或个人隐私文件，在未经明确告知的情况下，该文件的公开分享链接已被自动生成并上传到了外部服务器。

4. 混入大量无关平台的侵入逻辑与剪贴板读取

虽然脚本名称为“百度网盘限速解除”，但其内部却内嵌了大量针对其他平台（抖音、TikTok、YouTube Music）的解析与劫持逻辑：

  • 强行读取剪贴板：在 handlers.tiktok 和 readClipboardTextCompat 中，脚本尝试通过 navigator.clipboard.readText()、read()、IE 剪贴板接口，甚至在页面中临时注入隐藏输入框诱导粘贴来窃取剪贴板内容。
  • 功能不符与隐蔽行为：一个网盘脚本包含针对短视频平台的数据抓取与剪贴板嗅探代码，属于典型的代码夹带与功能不透明行为。

5. 垃圾代码膨胀与代码伪装（反审查对抗）

脚本的开头和结尾填充了数百行完全无关的伪造函数：

  • 涉及 WebGL 着色器、DHT 节点发现、音频重采样、3D 物理引擎模拟（createPhysicsWorld）、AST 编译器（compileToBytecode）以及伪加密算法（AdvancedCipher）。
  • 目的：通过注入大量无实际调用的死代码（Dead Code），人为膨胀脚本体积并干扰自动化代码安全扫描引擎（Linter/AST 分析），从而掩盖中间的真实行为。

6. 商业变现与引导消费

脚本内置了 buyPointsBtn（“开通会员/积分”）并引导至 https://dajiaoniu.site/Download/buy_points.html，结合其自动外传分享链接的机制，本质上是将用户的请求转移到其自建的代下载/解析服务端进行商业化收费变现。

总结与处置建议

检查维度 状态 说明
沙箱安全 极高危 将高特权 API（跨域请求、Cookie 操作）直接暴露给宿主页面的 unsafeWindow
权限过大 高危 申请了 @connect * 全网跨域与 GM_cookie 等敏感权限
隐私数据 高危 后台自动将网盘私密文件生成分享链接并发送至第三方服务器；包含剪贴板读取代码
代码规范 恶意特征 注入大量虚假垃圾代码用于混淆与规避平台安全审查

建议：

  1. 立即卸载或禁用该脚本，切勿在包含敏感个人文件或登录了重要账号的浏览器环境中使用。
  2. 检查此前在网盘中通过该脚本操作过的文件，及时在百度网盘的“我的分享”列表中撤销/取消不需要公开的分享链接。

大角牛软件科技 (the reported user) has made:

This report has been upheld by a moderator.