越刷越慌：这种“短链跳转”可能在悄悄读取通讯录，真正的钩子在第二次跳转

短链接给人方便、简洁、点击率高的印象，但在一次看似无害的点击背后，可能藏着多次跳转和复杂的“陷阱链路”。近日越来越多安全研究和用户反馈显示：攻击者通过两次及以上的跳转链，把真正的恶意载体藏在第二次跳转后——那一跳，可能会触发应用唤起、权限请求甚至偷偷抓取通讯录信息。下面把这类攻击怎么做、如何识别和如何自救讲清楚，能上手就用，能看懂就安心点。

一、短链 + 多次跳转是怎样的套路

第一跳：短链服务（如 t.cn、bit.ly 等）将用户引导到中间页或跳转服务器，用来隐藏真实目标并统计点击。
第二跳：从中间页再跳向最终载体。这个载体可能是恶意网页、伪装成正规服务的下载页，或触发本地应用的自定义协议（如 intent://、myapp:// ）。
真正危险往往在第二跳：利用浏览器行为或系统级协议唤起已安装的应用，或诱导用户安装新应用并授权读取联系人。

二、攻击者如何在第二跳“钩住”通讯录

利用应用唤醒和 Intent（安卓）：跳转到一个 intent:// 链接，如果设备上有匹配的应用，该应用被唤起，应用可能有 READ_CONTACTS 权限，启动后便能读取本地通讯录并上报。
利用自定义 URL Scheme（iOS/安卓）：myapp://path 这种协议会把用户从浏览器带到目标应用，应用若有权限同样能访问联系人。
通过网页+提示社工化授权：伪装成“同步联系人以便推荐”“导入通讯录好友”的页面，诱导用户手动上传或确认授权。
伪装安装包：第二跳直接指向一个应用下载页，用户下载安装并授予权限后，应用开始提取通讯录。
浏览器漏洞或 Web-to-native 桥接：某些 WebView 实现或第三方 SDK 可能允许 JS 触发本地接口，若存在缺陷便被利用。

三、如何识别可疑短链和第二次跳转

地址预览异常：第一次短链指向与展示信息不符、域名拼接奇怪、带大量参数或重定向层级多。
弹出安装或“打开应用”提示：点击后出现“打开某某App”或下载页面且你并未主动请求。
多次短时间重定向：浏览器频繁闪跳、地址栏快速变化。
不合逻辑的权限请求：在仅浏览信息时突然被要求“允许访问联系人”或“同步通讯录”。
链接指向非 HTTPS 或证书问题：最终目标站点没有加密或证书异常。
链接中出现 intent://、alipays://、weixin:// 等协议（特别是陌生协议或未安装相关 app 的情况下）。

四、如何在点击前看清楚目标（实用方法）

长按预览（手机）：在不少聊天或浏览器中长按短链可以预览实际 URL 或显示“复制链接地址”。
使用短链展开工具：在线服务（如 wheregoes、unshorten.it）或命令行 curl -I -Ls 可查看重定向链路。示例（命令行）： curl -I -L "短链URL" 这会显示 301/302 等重定向信息与最终 URL。
在桌面浏览器打开开发者工具（Network）：查看重定向跳转、Referer、Content-Type 等。
使用沙箱或虚拟机测试：在隔离环境里先打开，避免主设备暴露联系人和隐私。
使用网址安全检测（VT、Google Safe Browsing）：把最终 URL 粘贴进去检查是否被标记为恶意。

五、被钩住后如何应对（立即执行）

断开网络：若怀疑正在上传数据，马上断网（关闭 Wi‑Fi/移动数据）。
检查并回收权限：
Android：设置 → 应用 → 相关应用 → 权限 → 撤销“联系人”权限；或设置 → 隐私与安全 → 权限管理 → 联系人。
iOS：设置 → 隐私与安全 → 联系人 → 关闭可疑应用的访问。
卸载可疑应用：若是新安装的未知来源应用（尤其来自网页下载），立刻卸载。
更改重要账号密码：若担心联系人泄露带来进一步风险（如社交工程、冒充朋友诈骗），优先保护邮箱、主要社媒与支付账号。
通知受影响联系人：若确认通讯录被上传，提醒朋友戒备可疑短信、电话与链接。
扫描设备：使用可靠的安全软件或厂商内置安全扫描器检查是否有其他后门或恶意服务在运行。
报案与取证：保存相关跳转链、截图、下载记录，向平台（短链服务、浏览器、应用市场）与监管机构或警方举报。

六、日常防护清单（简单好用）

不随意点击陌生来源的短链，尤其是社交媒体、群聊里来历不明的链接。
在手机上关闭“自动打开外部应用”的设置（若浏览器支持）。
定期审查已授权访问通讯录的应用，撤销不需权限的应用访问。
不从浏览器直接安装未知来源应用；优先使用官方应用商店并看评论与权限。
浏览器启用隐私防护与反重定向插件（桌面端），或使用默认屏蔽弹出与自动重定向的移动浏览器。
系统与应用保持更新，修补已知漏洞。

七、企业与内容发布者应做的事

对短链接和外部链接做安全审查：在推送或投放前，用自动化工具检查跳转链与最终域名信誉。
在推广物料中使用可信的跳转服务并向用户明确说明跳转目标，避免使用脚本式多层重定向。
对员工进行安全教育，提醒不要随意安装来源不明的应用或授权通讯录访问。

结语短链本身无罪，它们解决了长度与可读性问题。但当短链被用作掩护，多层跳转就是攻击者隐藏“钩子”的方式。面向每一次点击保持一点怀疑、多做一步确认，能大幅降低被动上传通讯录或被唤醒恶意应用的风险。如果你怀疑自己已被窃取通讯录数据，先断网、撤权限、卸载可疑应用并按上文步骤处理，必要时联系安全专家或相关平台求助。谨慎与工具并行，才能把“越刷越慌”变回正常的上网体验。