搜索

[204] 2019-10-24_业务安全的资源层攻防时代

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2019-10-24_业务安全的资源层攻防时代 业 务 安 全 的 资 源 层 攻 防 时 代 原 创   燊 燊   A D 风 险 实 验 室   2 0 1 9 - 1 0 - 2 4           永 安 在 线 进 行 线 下 分 享     攻 防 实 验 ， 可 以 理 解 成 实 验 室 里 的 红 蓝 对 决 ， 我 们 几 乎 每 天 都 在 研 究 黑 产 是 怎 么 玩 的 ， 它 通 过 怎 样 的 方 式 对 我 们 的 业 务 造 成 攻 击 。 今 天 主 要 跟 大 家 分 享 我 们 过 去 在 攻 防 上 面 ， 在 和 黑 产 的 对 抗 当 中 的 一 些 经 验 和 有 趣 的 案 例 。 实 验 室 的 工 作 场 景 实 验 室 的 工 作 场 景             （ 图 一 ： 修 改 手 机 摄 像 头 的 指 向 ， 在 黑 产 不 同 作 恶 场 景 中 的 应 用 ）                 这 个 是 怎 么 做 到 的 呢 ？ 手 机 的 前 置 摄 像 头 点 开 看 到 的 是 自 己 ， 但 是 将 摄 像 头 的 指 向 修 改 到 指 定 目 录 下 ， 就 可 能 播 放 一 段 美 女 视 频 或 者 特 定 人 脸 视 频 。                 明 明 视 频 了 怎 么 还 是 被 骗 ？ 比 如 有 一 天 你 在 陌 生 人 社 交 A p p 里 遇 到 一 个 女 生 ， 你 们 聊 的 很 开 心 想 要 进 一 步 认 识 一 下 ， 于 是 加 了 微 信 发 起 视 频 通 话 。 视 频 打 开 一 看 ， 哇 ， 真 的 是 美 女 ， 美 女 跟 你 说 今 天 过 生 日 ， 你 慷 慨 的 发 给 美 女 2 0 0 元 红 包 … … 其 实 跟 你 聊 天 的 还 是 抠 脚 大 汉 。               身 份 不 符 情 况 下 为 什 么 能 通 过 网 约 车 人 脸 验 证 ？ 网 约 车 出 了 许 多 安 全 事 故 ， 要 求 司 机 通 过 摄 像 头 频 繁 的 人 脸 认 证 ， 发
现 人 车 不 符 合 或 者 有 过 往 犯 罪 历 史 不 允 许 开 网 约 车 。 这 样 可 以 解 决 很 大 一 部 分 安 全 问 题 ， 也 有 黑 产 通 过 同 样 的 方 式 借 助 另 外 一 个 人 的 身 份 发 起 攻 击 ， 绕 过 安 全 措 施 。             （ 图 二 ： 永 安 在 线 恶 意 注 册 靶 机 系 统 ）                   每 天 都 有 好 玩 的 事 情 ， 在 老 板 的 督 促 下 干 了 点 正 经 事 。                 于 是 我 们 搭 了 靶 机 系 统 ， 做 了 一 些 小 型 的 A p p 。 这 些 A p p 可 能 只 需 要 一 个 d e m o ， 比 如 说 登 陆 的 过 程 ， 然 后 用 真 实 的 黑 产 设 备 、 真 实 的 黑 产 资 源 ， 真 实 的 黑 产 I P 、 真 实 的 黑 产 手 机 注 册 卡 来 攻 击 靶 机 系 统 ， 然 后 复 现 迭 代 。 这 样 发 现 了 好 多 防 守 的 点 ， 还 优 化 了 好 多 识 别 黑 产 的 方 式 。      
                  ( 图 三 ： 手 机 黑 卡 猫 池 设 备 )
                      （ 图 四 ： 新 型 群 控 系 统 来 自 网 络 ）
              大 家 多 多 少 少 应 该 都 看 过 ， 知 道 群 控 系 统 、 手 机 墙 、 设 备 牧 场 。 这 个 是 新 型 群 控 ， 它 没 有 手 机 屏 幕 。 后 面 会 专 门 讲 这 种 新 型 群 控 。 从 运 营 层 攻 防 到 资 源 层 攻 防 从 运 营 层 攻 防 到 资 源 层 攻 防                   我 们 会 研 究 黑 产 最 新 的 攻 防 套 路 。 拿 注 册 最 重 要 的 黑 产 手 机 号 来 说 ， 这 些 手 机 号 从 哪 里 来 ？ 怎 样 流 转 ？ 怎 样 量 化 攻 击 ？ 都 是 实 验 室 日 常 研 究 的 课 题 。 通 过 每 年 对 黑 产 攻 击 工 具 的 统 计 ， 慢 慢 发 现 了 规 律 性 的 东 西 。                                     （ 图 五 ： 攻 击 工 具 占 比 统 计 ）                                     协 议 类 攻 击 协 议 类 攻 击                   协 议 类 的 攻 击 工 具 是 什 么 呢 ？ 协 议 类 的 攻 击 通 常 指 攻 击 业 务 接 口 ， 原 理 是 协 议 接 口 里 面 有 加 密 参 数 ， 正 常 用 户 访 问 接 口 会 带 着 自 己 的 身 份 标 示 ， 算 做 一 次 浏 览 。 黑 产 怎 样 做 呢 ？ 把 业 务 接 口 拿 过 来 ， 用 协 议 类 的 工 具 把 算 法 破 解 ， 通 过 批 量 请 求 这 个 接 口 达 到 恶 意 攻 击 的 目 的 。 常 见 的 比 如 说 ， 社 交 平 台 上 面 的 刷 流 量 、 点 赞 、 刷 评 价 ， 基 本 上 都 是 用 的 这 样 的 攻 击 模 式 。 协 议 类 其 实 是 从 很 久 以 前 到 现 在 为 止 一 直 存 在 的 东 西 。                   模 拟 点 击 脚 本 模 拟 点 击 脚 本            
                我 们 在 工 序 分 析 中 发 现 了 一 个 比 较 有 趣 的 现 象 ， 有 一 类 根 本 想 象 不 到 的 工 具 ， 在 异 军 突 起 持 续 的 增 长 ， 就 是 橘 黄 色 的 这 一 类 模 拟 点 击 脚 本 。 我 们 统 计 了 所 有 的 攻 击 类 ， 包 括 羊 毛 党 、 刷 量 、 爬 虫 等 等 ， 当 前 市 场 上 近 六 成 的 攻 击 是 模 拟 点 击 脚 本 方 式 。 完 完 全 全 几 乎 是 一 步 不 差 的 去 模 仿 真 实 用 户 ， 是 我 们 觉 得 挺 有 意 思 的 特 征 。 移 动 互 联 网 时 代 大 部 分 黑 产 攻 击 目 标 变 成 了 各 种 手 机 A p p ， 在 手 机 的 A p p 上 安 装 模 拟 点 击 脚 本 ， 像 真 实 用 户 一 样 一 下 一 下 的 点 击 去 实 现 攻 击 。 相 较 协 议 类 请 求 接 口 方 式 ， 它 的 攻 击 效 率 非 常 低 ， 几 乎 就 和 正 常 用 户 一 样 的 时 间 成 本 。 为 什 么 它 能 成 为 越 来 越 受 欢 迎 ？ 这 是 怎 么 回 事 ？ 我 们 在 其 他 攻 击 场 景 中 找 到 了 原 因 。                   拿 电 商 平 台 场 景 举 例 。 平 台 为 了 营 销 活 动 设 置 优 惠 券 ， 希 望 可 以 将 优 惠 给 到 真 实 用 户 。 羊 毛 党 怎 么 做 ？ 每 一 个 活 动 、 每 一 个 点 击 的 页 面 ， 都 预 先 设 置 好 不 一 样 的 模 拟 点 击 类 脚 本 。 本 来 用 户 在 平 台 薅 到 一 次 ， 买 东 西 便 宜 以 后 持 续 关 注 持 续 消 费 ， 这 些 名 额 全 部 被 羊 毛 党 占 了 ， 平 台 丧 失 获 取 真 实 用 户 的 机 会 。 通 过 发 放 优 惠 券 能 够 培 养 真 实 用 户 持 续 消 费 习 惯 ， 而 羊 毛 党 的 消 费 不 能 持 续 。                         黑 产 资 源 供 应 结 构 黑 产 资 源 供 应 结 构                   互 联 网 黑 产 群 体 紧 跟 着 互 联 网 的 发 展 不 断 壮 大 ， 分 工 细 化 。                   （ 图 六 ： 黑 产 资 源 供 应 链 ）               我 们 一 起 假 设 下 ，   模 拟 点 击 类 脚 本 需 求 越 来 越 大 会 造 成 什 么 结 果 ？ 模 仿 正 常 用 户 需 要 很 多 东 西 ， 比 如 说 注 册 需 要 手 机 号 ， 访 问 业 务 接 口 需 要 I P ， 需 要 足 够 多 的 设 备 ， 足 够 多 的 设 备 指 纹 ， 它 们 能 让 你 看 起 来 是 多 个 不 同 的 用 户 。 所 以 对 于 黑 产 来 说 这 些 资 源 成 了 硬 通 货 ， 于 是 发 展 出 非 常 市 场 化 的 生 态 结 构 ， 是 一 个 分 工 明 确 的 供 应 结 构 。 这 个 结 构 里 有 上 游 ， 比 方 说
刚 才 提 到 的 手 机 号 、 I P 、 设 备 指 纹 等 ； 中 游 有 一 些 交 易 平 台 ， 一 些 自 己 的 小 型 的 电 商 平 台 ， 自 己 交 易 一 些 账 号 ， 还 有 一 些 软 件 机 器 及 脚 本 ； 下 游 才 是 我 们 说 到 的 比 如 羊 毛 党 。 里 面 的 亮 点 稍 后 拿 出 来 讲 。 黑 产 核 心 资 源 层 的 快 速 迭 代 黑 产 核 心 资 源 层 的 快 速 迭 代                         （ 图 七 ： 传 统 代 理 I P 构 成 ）                   I P 是 黑 产 的 核 心 资 源 ， 注 册 也 好 爬 虫 也 好 ， 任 何 一 个 攻 击 都 需 要 I P 。 那 传 统 的 代 理 I P 该 怎 样 获 取 呢 ？ 有 三 种 方 式 ： 一 种 是 开 放 的 全 网 去 扫 ， 你 跟 哪 个 服 务 器 的 接 口 开 着 ， o k ， 我 把 你 拿 过 来 ， 把 你 当 作 代 理 的 跳 板 ； 另 一 种 是 肉 鸡 模 式 ， 通 过 攻 击 侵 略 主 机 ， 拿 到 主 权 之 后 建 立 代 理 接 口 ； 再 一 个 就 是 自 建 机 房 I D C 的 体 系 。                 传 统 代 理 传 统 代 理 I P 特 征 特 征                     攻 击 成 功 率 低 攻 击 成 功 率 低 — — 存 在 可 识 别 的 特 征 存 在 可 识 别 的 特 征               对 于 企 业 来 说 一 个 机 器 I P 是 一 个 服 务 器 地 址 ， 正 常 的 用 户 会 从 云 主 机 上 ， 比 如 说 某 某 云 上 发 起 一 个 云 请 求 吗 ？
浏 览 电 商 平 台 的 商 品 ， 需 要 去 云 主 机 上 浏 览 吗 ？ 通 过 这 个 特 性 ， 一 般 很 容 易 被 识 别 出 属 于 非 正 常 业 务 流 量 。 它 还 有 一 个 硬 伤 ， 获 取 I P 的 渠 道 十 分 有 限 。 传 统 代 理 I P 服 务 商 ， 全 网 扫 ， 基 本 上 日 增 量 几 十 万 I P 就 算 非 常 大 了 ， 对 于 黑 产 的 需 求 来 说 显 然 不 够 。           （ 图 八 ： 传 统 代 理 I P 售 卖 价 格 ）                   攻 击 成 本 攻 击 成 本 — — 按 个 数 和 质 量 收 费 ， 较 高 按 个 数 和 质 量 收 费 ， 较 高               我 们 从 报 价 表 上 看 出 来 ， I P 的 数 量 、 可 以 使 用 的 时 长 受 到 限 制 ， 每 个 价 格 的 区 别 都 在 这 两 点 上 。                 攻 击 效 率 攻 击 效 率 — — 不 稳 定 不 稳 定               也 就 是 说 ， 由 于 I P 数 量 等 限 制 ， 导 致 连 接 不 稳 定 ， 攻 击 可 能 随 时 断 掉 ， 你 用 的 是 人 家 的 服 务 器 嘛 。 用 起 来 太 不 爽 了 ， 动 不 动 就 断 掉 了 ， 对 于 黑 产 来 说 攻 击 效 率 受 到 严 重 影 响 。
            （ 图 九 ： 秒 拨 I P 原 理 ）                 秒 拨 秒 拨 I P 特 征 特 征                     攻 击 成 功 率 攻 击 成 功 率 — — 与 正 常 用 户 与 正 常 用 户 I P 混 合 ， 较 难 识 别 混 合 ， 较 难 识 别                 需 求 是 没 有 变 的 ， 即 便 如 此 ， I P 的 需 求 照 样 那 么 多 。 所 以 很 快 有 团 伙 他 们 去 迭 代 。 我 们 试 想 一 下 伪 装 正 常 用 户 的 I P ， 最 好 的 方 式 是 什 么 ？ 是 正 常 I P 用 户 本 身 。 家 庭 宽 带 每 个 人 都 用 过 ， 背 后 是 公 用 I P 池 ， 关 机 断 网 以 后 再 拨 号 得 到 的 是 另 外 一 个 I P 。 根 据 这 个 特 性 ， 黑 产 团 伙 通 过 供 应 商 团 伙 买 通 了 一 个 区 域 大 量 的 家 庭 宽 带 账 号 ， 然 后 让 他 们 同 时 拨 号 ， 也 就 是 蓄 了 一 个 自 己 小 型 的 流 量 池 。               攻 击 效 率 攻 击 效 率 — — 稳 定 高 频 稳 定 高 频               一 个 R O S 软 路 由 可 以 管 2 5 0 个 账 号 ， 并 且 可 以 串 用 起 来 的 ， 比 如 说 我 在 这 里 用 黑 产 的 机 器 拨 到 比 如 说 深 圳 的 I P 、 广 州 的 I P ， 甚 至 香 港 的 I P 或 者 美 国 的 I P ， 同 样 一 台 机 器 而 且 是 秒 级 切 换 ， 在 小 型 I P 池 里 ， 想 怎 么 换 就 怎 么 换 。 它 解 决 了 一 台 正 常 的 电 脑 上 只 能 登 陆 一 个 账 号 的 问 题 ， 实 现 I P 秒 拨 。
            （ 图 十 ： 秒 拨 型 I P 售 卖 价 格 ）                 攻 击 成 本 攻 击 成 本 — — 按 时 间 收 费 成 本 较 低 按 时 间 收 费 成 本 较 低               我 们 再 看 一 下 它 价 格 表 ， 哇 这 个 太 酷 了 ， 1 3 0 个 城 市 千 万 I P ， 它 对 I P 没 有 限 制 了 ， 不 用 担 心 数 量 的 问 题 。 正 常 用 户 的 I P 池 有 多 大 ， 黑 产 能 用 的 I P 池 就 有 多 大 ， 动 态 的 积 蓄 。 一 个 时 刻 包 含 部 分 I P ， 通 过 断 开 逐 渐 使 用 整 个 I P 池 ， 对 整 个 I P 的 数 量 再 也 没 有 了 前 面 的 限 制 。 另 外 我 们 看 价 格 ， 0 . 2 5 折 ， 这 个 价 格 太 有 竞 争 力 了 。 I P 对 他 们 来 说 已 经 不 是 一 个 主 要 成 本 的 地 方 了 。         （ 图 十 一 ： 代 理 I P 占 比 ）             我 们 有 一 个 全 球 的 蜜 罐 系 统 ， 我 们 会 统 计 攻 击 的 I P ， 于 是 发 现 7 5 % 背 后 都 是 秒 拨 型 网 络 I P 。 在 黑 产 来 说 这 就 是 一 个 解 决 方 案 ， 只 要 是 一 个 高 频 的 I P 的 攻 击 场 景 就 会 用 到 。                 恶 意 恶 意 I P 识 别 难 度 升 级 识 别 难 度 升 级
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理