我一个 web 程序员遇到个离谱 bug，查 bug 查到 windows 上去了

[StoneHuLu]

兄弟们，说个我和 sonnet4.5 搭配还查了 3 个小时的问题（心疼我的额度）。

新项目框架，系统正常运行，但是无论怎么 copy 生成的 token （ swagger 调 login 接口或直接 f12 找接口的请求头）都没法用 swagger 成功调用接口，一直解析 token 报错导致 401 ；

然后 token 很长么，肉眼不可读，我把控制台里的 token 和 swagger 生成的 token 复制粘贴到文本对比器里对比结果是毫无差异，放到在线 jwt 解析里 payload 有一半是乱码；

我就麻了，然后想了下，powershell 调用试试，结果出现个特别诡异的情况，我直接鸡皮疙瘩都起来了：我 powershell 调用接口登陆，直接存入变量，用变量调新接口，200ok ，然后我把 token 打印在控制台，ctrl+cv 贴回控制台，再调用，401 了。。。

我就觉得难道是 swagger 和 powershell 都有换行符的问题？我就解析 byte ，查换行符，都没有问题，我就纳了闷了了，最后逼得我没招了，开始笨方法：肉眼一个一个字符读 jwt ，然后我他妈一下头皮都麻了。。。

我就不上图了，结果就是我复制粘贴的 payload 的部分和原始请求返回的 token 里有一段字符不一样，出现了一段 KBM2Af9KHdAbE7JUAS8Mno1TZvNsq6o6C 的乱码；

我当时还不太敢相信，最后用 powershell 的 Set-Clipboard 、Get-Clipboard 模拟了下复制粘贴 token ，结果真的不一样。。

现在我知道 bug 的原因了，但我就是个菜鸡 web 搬砖工，想问问大佬们这到底是为啥，windows 的剪切板还有这种坑吗？

感谢 1l 老哥一眼丁真，下了个 360 快速查杀一下直接识别到了 windows 下一个目录，杀完就好了，这个情况我 2 个月前有遇到过，但是当时没有较真这个问题，最近开始用 cursor 寻思配合 ai 彻底查一下这个 swagger 的问题，没想到在家里修灯泡一路查到变电站去了。。

HEUR/QVM203.0.9AB5,Malware.GenC:\Program Files (x86)\Common Files)Microsoft Shared\Stationery776C641\NGXProvides.dll
C:\WindowsllbcmWsjkjUFj.exe
又看了下查杀记录，可能是这两个中的一个

[coolfan]

https://baike.baidu.com/item/%E5%89%AA%E8%B4%B4%E6%9D%BF%E5%B9%BD%E7%81%B5/22808325

莫非！

[StoneHuLu]

@coolfan #1 我靠，真没准啊，这得下个 360 检查一下了。。

[donaldturinglee]

用容器能解决 99%的问题

[StoneHuLu]

确认了家人们，就是 1 楼说的剪切板幽灵，我找了个虚拟货币的地址，复制粘贴直接就变了，然后 win+r 打开剪切板历史，会不停地闪烁，就好像有东西在刷新一样，离谱了

[dode]

离谱，电脑上有后门

[liuliuliuliu]

简单说：电脑中毒了

[Cabana]

@coolfan 牛🐮啊老哥，一眼丁真

[yuyanglive]

中毒了？？？

[dswyzx]

下个火绒试试。比 360 有底限多了

[nivalxer]

中毒了，识别到 token 中的 base64 部分疑似钱包地址给替换了，赶紧杀毒吧。

[EricYuan1]

@coolfan 学到了～

[SanjinGG]

现在的电脑还能中毒也挺难的吧

[FieldFarmer]

绝对中毒了，我去年遇到你这个一模一样的问题，剪贴板偷替换 token ，查了一下是一个虚拟币的钱包地址，一看就是黑客干的，第一次碰的时候也是不敢置信为啥复制粘贴出来一个我完全没见过的字符串，仔细想了想应该是中毒了，下载杀毒软件，仔细排查了进程，卸载了一堆不常用的软件后电脑重启恢复正常，当然最好是重装系统

[c3de3f21]

6 哇

[BigPiggggg]

有找到是哪个病毒程序吗

[zhuangjia]

长见识

[jianqiao031313]

学到了

[MrVito]

学到了

[StoneHuLu]

@BigPiggggg #15 看了下查杀记录，可能是这个：HEUR/QVM203.0.9AB5,Malware.GenC:\Program Files (x86)\Common Files)Microsoft Shared\Stationery776C641\NGXProvides.dll

[festoney8]

遇到不破坏电脑的可疑进程，可以先看看它的网络情况、procexp 瞅一眼命令参数，能看出来更多信息，比如可疑启动项或注册表被篡改

[kneo]

笑死了，还好你发出来了。

[body007]

吓得我赶紧用 everything 搜了下，还好没有你列的文件。

[festoney8]

区块链浏览器看了眼，这地址挺热闹啊，半年前开始活跃，流水 12 万 U
https://usdt.tokenview.io/cn/address/TKBM2Af9KHdAbE7JUAS8Mno1TZvNsq6o6C

[ks3825]

@StoneHuLu 之前用的哪个杀毒软件啊，defender?

[codehz]

我建议直接重装吧，你这个病毒可能只是其他病毒下载下来的 payload 之一，杀毒软件不一定能完美查杀

[Al0rid4l]

什么走进科学 (

[rayg0]

涨知识了

[charles0]

@SanjinGG 并没有，现在各类恶意软件非常多，特别是挖矿病毒、勒索软件、僵尸网络，这三个近几年才出现

[charles0]

@SanjinGG 只要使用习惯不好，不装杀毒软件、不及时更新系统和软件、…… 就容易中毒

[wyhooo]

@coolfan 破案也太快了（滑稽

[Hugehard]

还得是 v2 老哥见多识广

[relife]

@coolfan 一眼丁真

[crocoBaby]

你是不是上黄网中的

[SanjinGG]

@charles0 #28 我基本没碰到过，原装或者火绒还是要一个的吧

[mns]

厉害了

[paceewang1]

牛 b ，一眼丁真

[tangchi695]

电脑还是不能裸奔啊，我公司一台 win10 开发机，为了方便常年都是直接 dmz 暴露在公网上，天天杀毒软件都能看到入侵拦截的日志。

[goodryb]

你用的什么系统，平时没有开杀毒软件吗

[Alan15469]

我还碰到一个类似的，复制的文字粘贴到编辑器里总是格式错误，后来发现是 Python 安装的库有恶意代码，应该是安装库的时候手误打错了，安装了错误库。

[mb4555]

66

[agdhole]

你该彻底重装系统了，后面很可能在你不知道的一天把你的钱全部偷光

[biaoge123]

看到你那一串字符就想到了虚拟币的地址替换了 之前下一些破软件也会遇到过这个

[nkidgm]

破解软件装太多啦，总会有一个半个软件夹带这种后门。

[duzhuo]

我靠中毒了还能

[smlcgx]

牛逼，专门针对剪贴板的木马，叫你们整天裸奔

[xxxbin]

好吧。前几天复制密钥我还在想，总不会有剪贴板病毒吧。。。今天就看见了

[kfpenn]

我去，感觉好久没听到电脑病毒了，现在都是裸奔，还真是防不胜防啊

[v2hh]

我们最近发布了一个，最近有人反映剪贴板问题，我们查出来是这个原因
https://www.asklink.com/zh-CN/info-1991075974515372033