妈咪论坛 - Powered by Discuz! Board

标题: 双十一幕后黑手毙考题揭秘 [打印本页]

作者: 春风飘飘 时间: 2017-11-10 21:46 标题: 双十一幕后黑手毙考题揭秘

　　一年一度的电商狂欢节又到了，当剁手族们满怀期待地筛选商品，享受各大电商的优惠活动时，电商平台的运营人员却在后台焦灼地准备应对千军万马的羊毛党。电商活动影响力做得越大，引来越多用户的同时也吸引越多的羊毛党，所以活动规模、传播力量与羊毛党的量几乎成正比。

　　双十一前，11月7日，一款考研学习软件毙考题APP开启了“毙考双11答题领红包”活动，不到2小时，数万个红包随即被抢空。原定第一波现金红包持续3小时，只好提早结束。红包提早被抢空不重要，问题是毙考题APP初衷是针对高校考研学子而推出答题领红包活动，鼓励考研学子坚持学习，对考研学子努力复习的成果给予一份实实在在的现金奖励。众多学子还没享受到这福利，就被羊毛党抢完了。

　　更可怕的是，现在被多批羊毛党钻规则漏洞，用软件，集体抢占福利，甚至恶意入侵毙考题后台，偷窥答案，以至于毙考题答题前三名的排行榜出现20秒答完15道题，准确率达100%，这样即使是学霸都无法挤进榜单，无法靠实力赢取前三名的丰厚奖金。

　　羊毛党不只是一种现象，已经成为了一项职业，伴随着互联网烧钱的行为而诞生的灰色产业，钱烧到哪，他们就跟到哪，活跃在各互联网平台上，专门参加优惠活动，以此赚钱。

　　羊毛党已经形成了利润丰厚、组织严密、组织化程度极高的灰产组织。上到BAT，下到不知名互联网公司，只要举办市场活动，都可能面临羊毛党的巨大威胁。

　　甚至，羊毛党有能力对投入十亿级别、上市公司这样的庞然大物发动攻击，战而胜之。这就有点超出大家的想象。

　　当羊毛党批量注册时对系统冲击性很大，根据淘宝公开的资料显示，双十一的大迸发几乎让所有的银行都瘫痪过。而除了电商业务本身以外，支付、物流、客服体系、商业整个的配套体系设施都面临着考验。对于毙考题这样针对高校考研学子而研发的学习软件，面对着突如其来的大量数据，难以区分出哪些是真实用户，真正需要学习帮助的学子。

　　

　　铺天盖地的毙考题红包经验交流贴

　　一般情况下，羊毛党在刷取现金红包时，都会经历帐号注册、输入验证码、入账账号这三个环节，下面给大家分别介绍。

　　1、帐号注册

　　所有活动都是以帐号作为标识ID的，想要大量获取奖励，首先要拥有大量的帐号。因此，每一个羊毛党都有熟练批量注册小号的能力。当然如果你不会，那也没有关系，网上一搜一大把，花点钱就是了，一分钱一个号。

　　目前大部分网络业务针对注册环节都没有做很好的防护，基本上是通过下行手机验证码、IP频控、图片验证码来对抗批量注册行为。可以说，这些浅层次的对抗方案在羊毛党的眼里就如同纸老虎一般。为什么这么说呢，让我们一起来看看坏人的手段。

　　手段一：短信代收平台，1毛钱破掉你的防御

　　许多厂商的安全工程认为，获取大量的手机卡和手机设备是一件高成本的事情。所以，如果在帐号注册时，要求用户输入一个手机号码，并发送下行验证码是一种不错的对抗手法。起初这种方法是有效的，但仅仅在2年前有效。再后来，坏人就发明了一种“短信代收平台”的工具。一些手里掌握着资源的坏人，用低廉的价格购买大量小额手机卡，通过猫池(GSMMODEM池，用于短信集群收发的专业设备)+自动化管理软件成功实现了短信批量接收的功能。随后，他们将服务提供给羊毛党，在注册小号的时候输入猫池里的手机号，短信代收平台收到短信验证码后立即转发给羊毛党，每次收费仅0.1元。

　　手段二：代理IP，无限的资源

　　通过对单个IP的频率限制做打击，这是大家最喜欢用，也是最没有用的一种对抗方式。为什么这么说呢?首先，这一策略是为了识别自动机行为，避免一个自然人进行多次的注册、登录等行为。但是从理论上来说，坏人在使用了代.理IP、VPN后，IP可以看作成一种无限的资源，那我们针对无限的资源做频率控制又有什么用呢，坏人完全可以打一枪换一个IP。而且这种服务的价格也是低到没朋友。

　　手段三：自动机破解，你的验证码抗得住么

　　验证码相信大家都见过，有数字的、英文的、中文的、拼图的、算术题等等等等。花样繁多，但是目的只有一个，就是识别自动机和正常的人。自从有了验证码开始，黑产市场就出现了一批专职于破解验证码的技术团队，例如之前12306的验证码被废，就是一个典型的案例。就最近的调查结果显示，目前黑市上破解一般的验证码仅需600元。

　　2、资源刷取

　　这一步就很简单了，有了帐号，只需要按照官方规定的要求完成任务即可。比如有的厂商是拉新用户给奖励，那坏人就是会一半的资源邀请另一半注册，并获取奖励。还有比较复杂的规则，比如线上打车软件，坏人首先需要伪造LBS位置叫车，待刷单的司机接单后，关闭定位并完成行程，随后支付车费。全部完成后，司机会返还实际支付的钱并平分优惠部分。

　　3、输入支付宝账号

　　支付宝账号可以是绑定手机号，也可以绑定邮箱。像毙考题APP设定了一个手机号码对应一个支付宝账号的规则，羊毛党立马转用一批邮箱绑定一批支付宝，从而提现答题领取的现金。

　　羊毛党的发展现状

　　近年来，羊毛党迅速壮大，截至目前已有数万的黑产从业者规模。他们广泛涉及O2O、P2P、红包营销活动等领域。对各大厂商活动的研究及分享是羊毛党的日常，只要有一个苍蝇发现了甜头，很短的时间里就将找来一大群同类，往往让人措手不及。

　　更有嚣张的羊毛党刷走红包，还在毙考题后台不停留言他们的手法，甚至还说举报有奖。

　　毫不夸张的说，开展福利活动的时候就如同一次渡劫。渡劫成功则飞升成仙，渡劫失败则灰飞烟灭。

欢迎光临妈咪论坛 (http://bbs.mm-bb.cn/)