我顺着跳转追到了源头，别再问“哪里有入口”了：我把自救步骤写清楚了
遇到链接跳转、重定向、跳转链不止一次、内容难找甚至怀疑被“埋伏”——我也走过这类弯路。下面把实用且可马上上手的自救步骤按顺序列好，少走弯路，能看见源头就看见源头；看不见也能抓到证据交给会处理的人。
先来个速查清单（5 秒决定用哪招）
- 要安全先做：用无痕/隔离浏览、关掉自动运行脚本或在虚拟机里操作。
- 快速看跳转链：浏览器开发者工具 → Network（保留日志）→ 点击链接，观察 3xx 响应和 Location。
- 命令行死磕：curl -v -L "目标URL" （显示每一步）
- 存证分享：保存 HAR 文件或截图，保留请求/响应头。
- 查域名背景：dig/nslookup/whois 或在线工具查看主机归属。
详细自救步骤（按序） 1）安全准备（不要跳过）
- 用无痕模式或新建临时浏览器配置；更稳妥的话在沙箱/虚拟机里操作。
- 安装 uBlock、NoScript 或把 JS 禁掉，先防止自动跳转执行恶意脚本。
- 不要随意输入账号、密码或接受权限弹窗。
2）浏览器法：最直观也最常用
- 打开开发者工具（Chrome/Edge：F12 → Network），勾选“Preserve log”（保留日志）。
- 点击怀疑的链接或刷新页面，观察 Network 列表中出现的请求。关注 Status 列（301/302/307/ meta refresh），以及每个请求的 Response Headers 里的 Location 字段。
- 如果是 JavaScript 跳转，在 Sources 或 Elements 搜索 “location.href”, “window.location”, “document.location”, “setTimeout” 等关键词，定位脚本位置。
- 保存 HAR：Network 右键 → Save all as HAR with content，保存下来便于分享或二次研究。
3）命令行法：适合精确追踪和批量处理
- 用 curl 查看跳转链（会把中间步骤打印出来）：
- 示例：curl -v -L "https://example.com/跳转链接"
- 输出里会看到每一步的 HTTP 状态码和 Location 头，从而确认源头 URL。
- 如果只想看响应头：curl -I "https://example.com/目标"
- wget 也可：wget --max-redirect=10 --server-response "URL"
- 这些命令在无法加载完整页面的环境（禁 JS）下更稳妥。
4）处理 JavaScript/动态跳转
- 有些跳转由脚本计算，或者把真实 URL 做了 base64/hex 编码再写到脚本里。不要直接在不信任页面执行脚本，复制可疑字符串到本地文件或在线解码器里分析（先脱离原页面环境）。
- 在浏览器控制台里，可以把可疑表达式替换为 console.log(…) 来打印中间结果，或者把 window.location 的赋值改成打印语句查看目标地址（仅在安全环境下）。
- 常见线索：eval、atob、unescape、decodeURIComponent、location.replace/assign。
5）DNS/WHOIS/托管信息排查
- 如果想知道链条上某个域名是谁开的，或是否为短链/CDN/中转平台：
- dig 域名（或 nslookup）查看解析记录和 CNAME。
- whois 查域名注册信息与注册商。
- 在线服务（VirusTotal、SecurityTrails、crt.sh）能给出更多历史证据。
- 这些信息能判断是合法转发、第三方短链，还是可疑域名集群。
6）找回被隐藏的原始内容
- 如果跳转只是把你带到广告或中间页，开发者工具里找到最终 Location 后，直接复制那条 URL 打开，通常能到源站。
- 若源站被删除或变更，试试：
- Google 缓存（在搜索结果旁边的下拉箭头里看 cached）
- Wayback Machine（web.archive.org）
- CDN 或镜像站缓存（有时 final URL 指向 CDN，可以从头信息判断）
7）保存与共享证据（如果要投诉或求助）
- 保存 HAR 文件（包含请求、响应和内容）最完整。
- 截图保存关键步骤（Network 界面、Location 字段、可疑脚本片段）。
- 把命令行输出重定向到文本文件（curl -v -L "URL" > redirect_log.txt），便于分析和复现。
8）常见场景与短解
- 短链/反向计数：服务会先跳转到统计页再到目标。解决：找到 301/302 的 Location 并直接打开。
- 元刷新（meta refresh）跳转：在页面源码里会看到 ，直接复制 url。
- JS 延时跳转：查看脚本中延时函数或 setTimeout 里的目标地址。
- 渗透式跳转/恶意中间页：禁 JS、在命令行请求或用 HAR 保存证据，再交给安全人员。
少见但有用的小技巧
- 去掉 URL 参数：很多追踪/广告参数跟在 ? 或 # 后面，删除参数看是否能直达内容（不适用于要求参数授权的服务）。
- URL 解码：看到 %3D、%2F 等，先 decode 一遍，可能会出现真实链接。
- 批量检测：把一堆短链放进脚本用 curl 循环抓取最终位置，快速统计来源。
