来源: https://t.me/sstrojan/2802
邮箱： [email protected]
地址： 广西壮族自治区南宁市青秀区新竹街道南宁市新民路广西通管局
经核实为广西通管局员工个人邮箱，目前已在多家机场发现该邮箱且资金充足，三位数的套餐一买买好几个月。具体个人信息就不放了有兴趣的可以自行反查，不排除目前通报方式为爬虫+人工双管齐下的可能，也建议各位机场主训练相关识别模型或者分析样本数据。
https://t.me/sstrojan/2803
结合目前反映的内鬼账号访问IP来看，拉取订阅的人并不是从普通海外服务器或云主机直接访问官网，而是更像从国内真实网络环境中访问官网。一类IP 指向北京朝阳某科研/单位网络环境，另一类IP 指向国内某985大学相关校园科研区域（教育网）。这一点比较关键，因为它说明对方可能不是普通机场用户的自然使用行为。
拿到订阅之后，节点访问日志里又出现了大量访问 Google、Telegram、YouTube、Facebook，以及 myip.ipip.net 、api.ipify.org 、ipinfo.io 、ip.gs 、jsonip.com 、ifconfig.co 等查出口 IP 的网站。这种行为不像正常上网，更像是在测试节点：能不能翻出去、出口 IP 是哪里、地区显示是否正常、Google/TG/YouTube 是否能连通。
更值得注意的是，日志中多次出现阿里云 IP 和非常规端口。这个地址可能是某种检测地址、探针地址或钓鱼式测试目标。简单说，它可能不是普通网页访问，而是用来判断节点是否具备代理转发能力，或者测试节点是否会主动访问某些特殊目标。
