摘要：投递链、生产实践与实验的位置 本文是 360 Netlab 《银狐云端“生死簿”：从“无条件返回”到“黑名单”机制》 的后续分析，承接前文四阶段时间线。本轮实验确认了一个新的阶段——第五阶段：Referer 的时间窗变种。这不是第二阶段白名单机制的简单失效，而是白名单判定增加了时间窗口，命中后的返回内容也发生了变化：第二阶段命中返回样本下载地址；第五阶段命中且处于 00:00—08:00 时，返回 https://www.360.com/。具体何时发生这一转变，现有材料尚无法确定。持续生产又分为两部分：先以 Referer 请求头传递候选域名，随后改用 h 请求参数。 前文还原的银狐投递链由几部分共同组成：仿冒下载页面负责引流并触发请求；relays.json 提供中转池；调度接口 api.