找到 2 篇与 &# 相关的结果
-
假SMS接码平台系统源码 盗U秒U反面拆解源代码 最近拿到一套源码，名字叫”qc608sms接码系统”。从名字到界面，它都是一个正经得不能再正经的产品：全球接码平台，支持 100 个国家的手机号，可以接收 Telegram、WhatsApp、各大互联网平台的短信验证码。界面精美，国家列表、服务价格、用户中心、API 文档一应俱全。 但如果真的把它跑起来、逐行读代码，你会发现一个尴尬的事实：这套系统根本没有接码功能，它的全部意义，是让你把钱包连上来。 二、它到底是不是接码平台？——三处代码暴露一切 第一处：买号码永远失败。 下单接口 /api/get_number 的处理逻辑是：检查登录 → 检查你选的国家和服务是否存在 → 检查余额够不够 → 然后，直接返回”余额不足，请充值”。注意，不管你余额是多少，最后都走到这一句。数据库里连一张存号码的可用数据表逻辑都没有。 第二处：充值到账靠掷骰子。 USDT 充值的”支付确认”接口，核心代码是一行随机数： 10% 概率告诉你”充值成功”，90% 概率”支付尚未确认，请稍候”。链上根本没有做过任何交易校验。偶尔让你”成功”一次，只是为了让你相信这个流程是真的。 第三处：站内每一分钱都花不出去，除了”连接钱包”。 整个业务闭环里，唯一真实有效的动作，就是充值页上那个大大的”连接钱包支付”按钮。 三、核心陷阱：一次”支付确认”，签走全部 USDT 连接钱包后，页面会弹出签名请求，话术包装成”确认支付”。实际上它按顺序执行了三个动作，每一个都值得单独讲讲。 USDT 无限授权——真正的那把刀。 它调用的是真实的 USDT 主网合约，请求你授权给一个写死在配置文件里的地址，额度是 uint256 的最大值——俗称”无限授权”。approve 是任何人都可以对自己的代币执行的合法操作，所以这笔签名会真实上链、真实生效。签完的那一刻，那个地址就获得了随时划走你钱包里全部 USDT 的权力，而且授权永久有效，除非你主动撤销。更隐蔽的是，页面还内置了手机端的 tron://contract?...approve... 深链二维码，用手机钱包扫码支付同样会弹出这笔授权。 “钱包多签”——一个半成品幌子。 第二个签名请求会修改你的钱包 owner 权限，界面话术是”安全升级”。有意思的是，拆开代码发现，骗子接收地址只被打印在调试日志里，压根没有写进权限结构——也就是说这份流通版本里，即使你签了，攻击者也拿不到任何权限。它是用来消耗你签名意愿的”气氛组”。但请务必注意：同类骗术的完整版本是真实存在的，凡是请求”多签/权限变更”的，一律拒绝。 transferOwnership——必然失败的表演。 第三个请求对 USDT 合约调用 transferOwnership。USDT 合约的 owner 是部署方，你的钱包根本不是，这笔交易百分百回滚。它存在的意义只是让”授权流程”看起来更像一套正经系统。 最终效果：你签了第一个签名，钱包就被”授权”了；至于充值的 USDT 本身，转进的就是同一个骗子地址——转账和授权，指向同一个口袋。 四、更阴的一层：你的钱包地址被实时广播 页面加载后，一段脚本会每 3 秒扫描一次你浏览器里的 TronLink、MetaMask、BitKeep 等钱包插件。一旦发现你连接了钱包，立刻把钱包类型、地址、时间发送到一个写死在代码里的 Telegram 机器人，同时存入它自己的数据库。你断开钱包，它还会通知”离线”。 也就是说，你只是连了一下钱包、什么都没签，骗子就已经拿到了你的地址，可以持续观察你钱包里的资产，决定值不值得对你做下一步。 五、完整骗术流程还原 一套源码、一个域名、一个 Telegram 机器人，就是骗子的全部成本。 六、如何一眼识别这类盗U站（重点背下来） 充值/购物场景弹出 approve 签名 = 99% 是盗U。 正常支付用 transfer 只花你要付的那点钱；approve 是把钥匙交出去。签名弹窗里看到函数名是 approve、金额是一串天文数字，立刻关页面。 任何请求修改”权限 / 多签 / owner”的签名，一律拒绝。 购物平台永远没有理由碰你钱包的权限设置。 二维码内容是 tron://contract?... 开头的深链——手机钱包扫码前，先看清楚里面调用的函数名。 “工具类/会员类”网站只收 TRC20-USDT、没有任何第三方支付，充值后长期”确认中”。 客服只有一个 Telegram、域名用各种廉价后缀。 自查与自救：打开 Tronscan，查自己地址的”授权记录”，凡是给陌生地址的无限 approve，立即执行 approve(原地址, 0) 撤销，然后把 USDT 转进一个全新地址。授权撤销前，钱包里的 USDT 一秒都不安全。 七、写给想做”副业项目”的人 这个案例还有一个值得警醒的地方：它以”源码”的形式在各类下载站流通，买家以为自己捡到了印钞机，实际上接手的是诈骗工具。制作、部署、改装、传播这类系统，哪怕”只是帮忙架个站””只是卖个源码”，在国内司法实践中都可能触及诈骗罪（共犯）或帮助信息网络犯罪活动罪（帮信罪）——”我没参与扫币””我只是卖代码的”不是护身符，明知用途仍提供帮助即满足”明知”要件。 拿到任何来路不明的源码，第一件事是安全审计，而不是部署上线。看不懂的签名请求，永远不要签；看得懂的，再想想要不要签。 本篇反面教材案例只供大家学习使用，请勿用作其他或非法用途！ 群组token和ID修改路径：static/js/wallet-detector.js 资源下载 隐藏内容，请前往内页查看详情 本资源售价9.9元，购买后即可查看下载地址。如有问题请联系站长。
-
TG 内联帖子机器人源码 — 宝塔部署教程 & 使用说明 一、代码审计结论（2026-09-01） 检查项结果后门 / 恶意代码✅ 未发现。全部源码共 4 个文件，无 eval、无 child_process、无隐蔽外传请求，网络通信仅走 Telegram 官方 API依赖包安全✅ 仅 3 个直接依赖（telegraf / nedb-promises / dotenv），均为知名开源包，无 postinstall 安装脚本数据安全✅ 本地 NeDB 文件存储（data/posts.db、data/buttons.db），无远程上报⚠️ 卖家水印已清除（原 createPost.js、menu.js 中两处 “优选源码yxymk.com”）⚠️ Token 泄露风险.env 里带有一个真实 Bot Token。强烈建议去 @BotFather 发送 /revoke 重新生成 Token，旧的作废 需要了解的两个设计特性（非漏洞，但要知道） 任何 Telegram 用户都能用你的机器人创建帖子（无管理员白名单）。如果只想自己用，可以加白名单，见文末”进阶修改”。 Inline 搜索是全局的：任何用户输入 6 位帖子码就能发你的机器人里任意帖子。这是”发帖分享”的产品设计，码是 6 位随机数字，不猜码就搜不到。 二、宝塔部署教程 准备工作 一台服务器（国内/国外均可；机器人只需访问 Telegram API，若服务器在国内需能连通 api.telegram.org，建议直接用香港/新加坡等境外服务器，省去代理麻烦） 宝塔面板已安装 已在 @BotFather 创建机器人并拿到 Token 第 1 步：安装 Node 环境 宝塔面板 → 软件商店 → 搜索 Node.js → 安装 Node.js 管理器（PM2），选择 Node 版本 18 或 20（Telegraf 4.x 要求 ≥ 16）。 第 2 步：上传项目 宝塔 → 文件 → 进入 /www/wwwroot/，新建目录如 tg-post-bot 把整个 68641 文件夹内容上传进去（不要上传 node_modules，服务器上重新安装更干净） 上传后目录结构应为： 第 3 步：配置 .env 编辑 .env，填入你自己的 Token： 第 4 步：安装依赖 宝塔 → 终端（或文件管理器里的终端），执行： 第 5 步：用 PM2 启动（推荐） 验证：pm2 logs tg-post-bot 看到 ✅ Bot @xxx is running! 即成功。 也可以用宝塔的 Node 项目功能（软件商店 Node 管理器里”添加项目”，启动文件选 index.js），效果一样，自带守护。 第 6 步：开放网络 机器人使用 Long Polling 拉取消息，不需要开放任何入站端口，也不需要域名、SSL、反向代理 唯一要求：服务器出方向能访问 api.telegram.org（443 端口） 国内服务器连不通的话，有两个方案： 方案 A（推荐）：换境外服务器（香港轻量云最省事） 方案 B：给代码加代理。在 index.js 的 const bot = new Telegraf(token); 改为： （需先 npm install https-proxy-agent） 日常运维命令 数据备份 所有帖子数据都在 /www/wwwroot/tg-post-bot/data/ 目录（2 个 db 文件），定期备份这个目录即可，迁移服务器时整个目录拷走就能恢复全部帖子。 三、使用说明 1. 开通机器人（一次性） Telegram 搜索 @BotFather → 发送 /newbot → 按提示起名，获得 Token 必须：发送 /setinline → 选中你的机器人 → 发送任意提示语（如”输入帖子码”）→ 开启 Inline 模式。不开这个，Inline 发送功能不可用 2. 创建帖子 在 Telegram 里打开你的机器人 → 发送 /start → 点 ✏️ 创建帖子 发送帖子内容，两种形式任选： 纯文字：支持 Telegram HTML 格式（<b>加粗</b>、<i>斜体</i>、<a href="链接">文字链接</a>、<code>代码</code>） 图片：直接发图，图配的说明文字会作为标题（也可不配文字） 点 ➕ 添加按钮 → 输入按钮显示文字（如”点击购买”）→ 输入跳转链接（必须 http:// 或 https:// 开头）。可以连续加多个按钮，每个按钮独占一行 点 ? 预览 查看实际效果，不满意可 ? 清除所有按钮 重来 点 ? 保存帖子 → 系统生成一个 6 位帖子码（如 482913） 3. 发送帖子（核心玩法） 在 任意聊天窗口（私聊、群、频道都可以）的输入框输入： 弹出匹配的帖子 → 点击 → 带按钮的帖子直接发到该对话。发到频道需要你先把机器人加为频道管理员（普通发送进群/私聊不需要任何权限）。 4. 管理帖子 /start → ? 我的帖子 → 点任意帖子，可： ? 预览：查看当前效果 ✏️ 编辑：改正文 / 加按钮 / 清空按钮 / 再次预览 ? 删除：二次确认后删除（按钮数据一并删除，不可恢复） ? 如何发送：直接显示这个帖子的 Inline 调用命令 每次保存的帖子码在”我的帖子”列表里也直接可见。 5. 实用技巧 HTML 排版：正文写 <b>标题</b>\n\n内容... 可以做出层次感；\n 直接回车换行即可 多按钮引导：常见用法是”入口按钮 + 客服按钮”组合，一行一个很醒目 帖子码即取即用：把 6 位码发给需要的人，对方自己输 @机器人 码 就能取帖，适合做付费内容交付 图片帖子：图片用 file_id 引用，不占你服务器空间，也不会过期失效（Telegram 侧永久保存） 四、进阶修改（可选） 只允许自己创建帖子（管理员白名单）：查到自己的 Telegram 数字 ID（给 @userinfobot 发消息），在 index.js 的 bot.use(session()); 之前加： 改完 pm2 restart tg-post-bot 生效。 资源下载 隐藏内容，请前往内页查看详情 本资源售价9.9元，购买后即可查看下载地址。如有问题请联系站长。
