|
為了能囤到票，如今的黃牛都玩起了“技術活兒”。昨日央視《新聞30分》報道，部分黃牛利用搶票軟件，10分鐘就能刷走1245張火車票。 央視記者走訪發現，黃牛使用搶票軟件在12306網站自動反復刷票，由于搶票軟件突破了12306設置的每5秒才能刷新一次的限制，把時間縮短到毫秒，購票速度更快。 此外，在購買過程中，搶票軟件無需手動輸入信息且可以毫秒速度自動識別驗證碼，使用多個賬號和大量虛假身份信息，最快幾秒鐘就可把整趟列車的票囤個精光。 上午《法制晚報》記者采訪一名IT技術人士，他表示，黃牛在倒票過程中，主要是利用12306設置的“45分鐘[url=]支付[/url]期”這一時間差，反復搶票、賣票、退票再搶票，循環地保證這部分票一直控制在手。而幫助黃牛實現這一流程的，主要有三大漏洞。 1 造假 漏洞：身份信息無驗證 黃牛通過算號軟件或者在線算號網站，只要指定出生地、出生日期及性別，即可生成無數格式正確的身份證號碼。隨意復制其中的一個身份證號并任意填寫乘客姓名，在12306網站都可以成功訂票。 分析：假身份信息之所以能夠成功購買車票，是因為12306并沒有與公安系統聯網，無法對身份證號等信息進行審核。在未與公安系統聯網的情況下，12306本身只能檢測身份證最后一位的運算邏輯，但算號軟件早已經解決了這個問題，因此12306無法檢測身份信息真偽。 建議 只要把身份信息、手機號等與公安系統掛鉤驗證，即可有效堵住這一漏洞。 2 搶票 漏洞：刷新、輸碼全自動 通過搶票軟件，每臺[url=]電腦[/url]可同時登錄幾十個賬號，黃牛只需多開幾臺電腦，再利用大量虛假身份信息去“占”票即可。12306規定一個賬號最多可購買5張票，即使按每臺電腦開20個賬號來算，理論上來講每臺電腦在同一時間可以搶到100張票。 分析：12306賬號目前很容易就能實現雙開，因此黃牛同時可搶到的票數量會更多。雖然12306設置兩次查詢必須間隔5秒，但搶票軟件突破了這一限制，把刷新時間縮短到毫秒；此外，搶票軟件能自動識別驗證碼。通過上述手段，黃牛的下單速度更快，幾乎可以秒購整節車廂甚至整列火車的票。 建議 可以對同一IP或同一[url=]網卡[/url]MAC地址登錄的賬號數量進行限制，減少黃牛刷票量，同時縮短站內刷票時間。此外，在驗證碼上進行加密或二級的技術手段或漢字，應該是更好的方式。 3 倒票 漏洞：退票流程不設限 成功囤票后，黃牛立即在線上兜售。若有顧客付款，他們馬上退票，同時用搶票軟件不斷刷新，以便退票進入票倉后第一時間搶到，之后再用顧客的真實身份信息付款。若票未賣出，則將剩票退票，此后再度用搶票軟件搶回來。 分析：12306網站設置了45分鐘的支付期，這段時間內不付款也可保留這張票，黃牛正是利用這一時間差反復搶票退票再搶，始終掌握這部分票。此外，在12306退票無任何驗證流程，雖然春運期間退票手續費提高到20%，但這部分費用最后會轉嫁給購票者，黃牛并不擔心。 建議 防黃牛倒票，關鍵要在退票流程下工夫，比如設置同一賬號一段時間的退票次數等，防止黃牛搶票后反復倒票。
|
|
安全專家揭黃牛刷票原理：12306網站驗證碼存漏洞 人民網北京1月10日電（崔雷）近日，中央電視臺新聞欄目曝光了利用12306網站的漏洞，借助電子搶票軟件非法牟利的消息，立刻引起社會關注。根據調查，12306網站在售退票過程中多個環節存在漏洞。 根據報道，網上流行著許多搶票軟件，其中還包括收費的搶票工具，從幾元幾十元一個的“個人版”，到收費上千元每月的“企業版”，價格不等功能不一。 記者昨天聯系到獵豹公司相關負責人。對方表示，這些刷屏軟件可以避開12306網站的購票規則，并且能夠輕松繞過其技術限制，大量刷得火車票。 據了解，12306網站為防止機器幕后操縱，特意對訂票過程設置限制，即兩次查票時間間隔不低于5秒，登陸和提交訂單時需輸入驗證碼。同時規定，普通用戶通過12306每次只能買5張票。 上述負責人表示，通過調查他們發現，這些刷屏軟件可以自動尋找12306網站速度最好的服務器，提高刷屏成功的幾率，然后利用網站驗證碼漏洞以毫秒速度自動輸入驗證碼，并且可以規避5秒查票時間間隔，沒有了這些限制之后，刷屏軟件可以比常人手動搶票快“上百倍”。 利用上述刷票軟件，一些通過刷票倒賣火車票的“網絡黃牛”在成功繞過驗證、自動刷票、毫秒搶票之后提前利用假身份證注冊上千個賬號，然后批量導入這些賬號同時刷票，一次性就可搶到上千張票，甚至一整節車廂的票都能被瞬間搶走。有網友直呼，“黃牛軟件才真正是‘狂拽吊炸天’的搶票神器啊”。 通過對12306網站的分析，獵豹安全專家發現，12306網站對訂單提交驗證碼時校驗不嚴，沒有保證進入提交頁后獲取。該漏洞導致刷票軟件可以直接獲得驗證碼圖片，查票完成后，直接提交訂單，跳過驗證碼環節。 對此，安全專家建議12306網站修改驗證碼機制，采用人工智能驗證碼。比如問題是，足球和乒乓球哪個大？答案是足球。1+3=幾，答案是4。用戶只需輸入“足球”或者“4”就可以通過驗證。這種驗證碼，機器極難回答，而人工很容易回答。 根據報道，12306網站在身份證驗證方面并沒有與公安機關進行身份證系統的對接，也為“網絡黃牛”提供了可乘之機，導致大量車票流入不發之徒手中。安全專家建議12306網站與公安機關進行身份證系統的對接，用戶注冊和購票時，需要提供真實有效的身份證信息。 |
