杀手杰夫链接网站代码

第一次在某个加密论坛看到“杀手杰夫链接网站代码”这个说法，杀手我以为是链接恶搞。点进去才发现，网站是代码一段被反复转发的HTML片段，标题就叫《杀手杰夫链接网站代码》。杀手代码本身不长，链接二十来行，网站混着JavaScript和一层Base64编码的代码跳转链接。发帖人声称这是杀手“杰夫”用来诱骗目标点击的页面模板——页面上只显示一个模糊的恐怖头像，鼠标移上去就触发跳转，链接最终落地到一个暗网商品页。网站真假没法验证，代码但代码逻辑倒是杀手清清楚楚。

先看核心部分。链接整个页面就一个div，网站背景黑色，中间放一张base64编码的图片，尺寸固定300x300。图片下方有一行小字：“点击查看完整档案”。这行字绑定了onmouseover事件，只要鼠标划过，就执行一个叫go()的函数。函数内容很简单：window.location.href = atob('aHR0cHM6Ly9leGFtcGxlLm9u' + 'aW9uL2plZmY=');。atob解码出来是https://example.onion/jeff。注意，这里用了字符串拼接，把Base64拆成两段，大概是为了绕过某些静态扫描。这种手法在恶意脚本里常见，但放在“杀手杰夫”这个都市传说背景下，就显得格外刻意。

我试着在本地复现这个页面。把代码存成jeff.html，用浏览器打开。鼠标刚碰到那行字，地址栏瞬间跳到那个.onion域名——当然，Tor没开，直接报错。但那一瞬间的跳转速度很快，没有确认框，没有延迟。如果这是个真实钓鱼页，用户根本来不及反应。代码里还藏了一个setTimeout，5秒后自动跳转，即使你不碰鼠标。这个细节让我后背发凉：它不依赖用户交互，纯粹是等着你上钩。

更值得琢磨的是图片。base64解码后是一张低分辨率的黑白照片，人脸模糊，眼睛部位被两个红点覆盖。我拿它去搜图，没找到原始出处。但红点的位置和大小，跟早期Creepypasta里“Jeff the Killer”的经典同人图高度相似。也就是说，这段代码的制作者刻意选了一张符合传说的视觉素材，用来强化心理暗示。技术上毫无新意，心理层面的设计却挺阴——你明知道是假的，看到那张脸还是会愣一下。

有人把这段代码改成了WordPress插件，伪装成“访客统计”模块。安装后，后台看不出异常，但每个访问者都会在0.3秒内被重定向到一个博彩网站。我拆过那个插件包，发现它把原始代码里的onmouseover改成了onload，跳转链接也换成了动态生成的短链。这说明“杀手杰夫链接网站代码”已经从一个都市传说梗，变成了黑产手里的现成工具。名字唬人，内核就是最基础的开放重定向漏洞利用。

如果你在某个群里看到有人发“杀手杰夫链接网站代码.txt”，别点。那文件十有八九是个.hta或.js，双击就中招。真正的HTML代码不会以txt形式传播，更不会让你“右键另存为”。我见过最离谱的变种，是把跳转逻辑写在CSS的@import里，连JavaScript都省了。浏览器照样执行，防不胜防。

说到底，这段代码本身没多高明。它火起来，全靠“杀手杰夫”这四个字带来的好奇心。写代码的人算准了你会去解码那个Base64，算准了你会忍不住点一下。技术是壳，心理是核。下次再看到类似标题，直接看源码里的window.location和atob，比什么分析都管用。