文章总结： 武汉某院校公众号菜单跳转色情站，系旧域名过期未续费被抢注转售而非入侵；色情站基于MacCMS泛解析子域名，隶属500余域名、14.5万条资源的站群黑产，上游为开放API资源站；经WHOIS与NS聚类关联取证锁定线索，建议及时续费旧域名并清理链接。 综合评分： 85 文章分类： 威胁情报,实战经验,网络安全,安全大事件

【黑产链分析】域名过期一年后，武汉某职业院校公众号成了色情站的免费流量入口

原创

金夏 金夏

金夏安全

2026年9月10日 20:19 广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

最近电脑坏了，导致推文有时差问题。

星期二下午，在一个阳光明媚的日子，笔者在悠哉悠哉冲浪呢，突然YY大佬发了一个聊天记录出来。

07  运营者画像与溯源线索

7.1  两个真实注册邮箱

我把 37 个目标域名的 WHOIS 批量查了一遍，绝大多数都开了注册商隐私保护，但有两个邮箱没藏住：

| | | | | — | — | — | | 邮箱 | 对应域名 | 价值 | | x***[email protected] | 0***l.cn（石家庄色情站） | Gmail 真实邮箱，执法可调取 Google 账号注册信息、登录 IP、设备指纹 | | 5***[email protected] | u***h.cn（播放 CDN 域名） | QQ 邮箱，对应 QQ 号 5***8，可调取 QQ 实名信息、登录记录、好友关系 |

这两个邮箱是能落到真人的关键线索。尤其是 5***[email protected]——QQ 号在国内是实名的，走执法渠道可以直接把人的真实身份挖出来。

7.2  Telegram 频道：@m***e

资源站帮助中心留了个 Telegram 账号 @m***e，我把信息抓全了：

频道名：茅台资源站

成员数：2789 人，120 人在线（活跃度高）

描述：”茅台影视资源站…海量影视资源，永久免费，超清蓝光，大厂 CDN 加速…全网（最高现金福利）联系客服领取”

官方网站：m***y.me

备用官网：mtzy0-m***7.com（8 个域名）

采集教程：m***y.me/help/index.html

这个频道是运营者自己在运营的，2789 个成员，规模已经不算小。频道管理员那个 Telegram 号，走执法渠道能调到绑定的手机号和实名信息。

7.3  QQ 群：7***9

资源站帮助中心还留了个 QQ 群号 7***9。群成员和管理员信息要登录 QQ 才能看，是后面社工分析的重点——群管理员大概率就是运营者本人或者核心成员。

7.4  注册商与 NS 聚类

| | | | — | — | | 维度 | 聚类结果 | | 注册商 | 合肥聚名 13 域（资源站群）、Gname 10 域（色情站群+NS集群）、GoDaddy 4 域（CDN+英剧资源） | | NS 集群1 | ns1/n***2.j***s.com — 11 域（资源站群统一 NS） | | NS 集群2 | ns1/n***2.h***i.com — 4 域（4 个色情站域名） | | NS 集群3 | ns1/n***2.x***s.com — w***e.com + 0***8.com + 0***s.com | | NS 集群4 | n1/n***.x***s.com — u***h.cn（播放CDN）+ y***y.me + y***n.com（英剧资源） |

7.5  关联品牌：英剧资源站

51.***.***.234 这个 IP 反查出来 19 个域名，除了资源站群（mtzy3/6/7.com），还有 y***y.cc/me/tv、y***n.com（”英剧资源”）。yjzy 和茅台用的是完全相同的服务器——同一个人做多个资源站品牌，也是为了分散风险。

7.6  运营者综合画像

运营者画像

规模：至少 3 个内容品牌（茅台资源站、英剧资源、色情站群），500+ 域名，14.5 万条资源，2789 Telegram 成员。

技术能力：MacCMS 批量建站、NS 集群管理、CDN 加速、WAF 防护、PHP-FPM 运维、泛解析接管、域名抢注策略。

注册策略：批量注册（2024-10-30 同一天 5 个域名）、多注册商分散（聚名/Gname/GoDaddy）、隐私保护为主但有疏漏。

基础设施：加拿大 OVH 主力服务器（2台）、美国 Cnservers 站群服务器（10+ IP）、香港解析服务器、c***e.org CDN。

变现方式：Trafficstars 广告联盟（ID 8***8）、VIP 会员/卡密、”现金福利联系客服”（可能有私下交易）。

地理位置：注册商合肥聚名（中国合肥）、QQ 邮箱（中国）、Gmail（可能翻墙）、服务器全在海外。中文运营，Telegram 描述全中文。

团队规模：从基础设施复杂度和内容更新频率（日更 275 条）来看，至少 2-3 人的小团队，有专门的运维和内容运营。

08  证据清单

这次分析我收集到的证据如下：

7.1  核心证据

01_selectfen_body.html — selectfen.asp 完整响应体（31547 字节，MacCMS 色情站页面）

02_whois_rdap.json — w***e.com RDAP WHOIS（DropCatch 抢注证据）

04_ns_whois.json — x***s.com WHOIS（NS 集群注册信息）

13_certspotter.json — 证书透明度结果（4 条证书，攻击者泛域名证书证据）

17_资源站帮助中心.html — 资源站帮助中心（55606 字节，含 API 地址/联系方式）

20_ns_cluster_domains.txt — NS 集群完整域名列表（500 个）

27_porn_sites_full.json — 124 站点扫描结果（JSON 格式）

7.2  数据证据

数据/API视频数据.jsonl — 7980 条资源站 API 视频数据

数据/伦理片样本_10页.json — 伦理片前 10 页数据（200 条色情内容）

数据/伦理片样本_100条.json — 100 条伦理片样本

数据/全部分类.json — 53 个分类完整列表

7.3  代码审计证据

plugins/maxcms_ext/admin_mt.asp — MaxCMS 采集插件源码（26KB，2 处 SQL 注入 + 1 处 XSS）

code_audit/ — 11 个 JS 文件及审计结果（全部干净，无后门）

7.4  社工证据

telegram_m***e.html — Telegram @m***e 频道页面（2789 成员）

WHOIS 聚类结果 — 两个真实邮箱（x***[email protected]、5***[email protected]）

黑产技术分析交流群

金夏安全

扫码添加好友，一起学习进步

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：金夏安全 金夏 金夏《【黑产链分析】域名过期一年后，武汉某职业院校公众号成了色情站的免费流量入口》