安全专家揭黄牛刷票原理:12306网站验证码存漏洞

来源:百度文库 编辑:超级军网 时间:2024/03/29 05:47:51
http://it.people.com.cn/n/2014/0110/c1009-24080498.html

     人民网北京1月10日电(崔雷)近日,中央电视台新闻栏目曝光了利用12306网站的漏洞,借助电子抢票软件非法牟利的消息,立刻引起社会关注。根据调查,12306网站在售退票过程中多个环节存在漏洞。

     根据报道,网上流行着许多抢票软件,其中还包括收费的抢票工具,从几元几十元一个的“个人版”,到收费上千元每月的“企业版”,价格不等功能不一。

     记者昨天联系到猎豹公司相关负责人。对方表示,这些刷屏软件可以避开12306网站的购票规则,并且能够轻松绕过其技术限制,大量刷得火车票。

     据了解,12306网站为防止机器幕后操纵,特意对订票过程设置限制,即两次查票时间间隔不低于5秒,登陆和提交订单时需输入验证码。同时规定,普通用户通过12306每次只能买5张票。

     上述负责人表示,通过调查他们发现,这些刷屏软件可以自动寻找12306网站速度最好的服务器,提高刷屏成功的几率,然后利用网站验证码漏洞以毫秒速度自动输入验证码,并且可以规避5秒查票时间间隔,没有了这些限制之后,刷屏软件可以比常人手动抢票快“上百倍”。

     利用上述刷票软件,一些通过刷票倒卖火车票的“网络黄牛”在成功绕过验证、自动刷票、毫秒抢票之后提前利用假身份证注册上千个账号,然后批量导入这些账号同时刷票,一次性就可抢到上千张票,甚至一整节车厢的票都能被瞬间抢走。有网友直呼,“黄牛软件才真正是‘狂拽吊炸天’的抢票神器啊”。

     通过对12306网站的分析,猎豹安全专家发现,12306网站对订单提交验证码时校验不严,没有保证进入提交页后获取。该漏洞导致刷票软件可以直接获得验证码图片,查票完成后,直接提交订单,跳过验证码环节。

     对此,安全专家建议12306网站修改验证码机制,采用人工智能验证码。比如问题是,足球和乒乓球哪个大?答案是足球。1+3=几,答案是4。用户只需输入“足球”或者“4”就可以通过验证。这种验证码,机器极难回答,而人工很容易回答。

     根据报道,12306网站在身份证验证方面并没有与公安机关进行身份证系统的对接,也为“网络黄牛”提供了可乘之机,导致大量车票流入不发之徒手中。安全专家建议12306网站与公安机关进行身份证系统的对接,用户注册和购票时,需要提供真实有效的身份证信息。http://it.people.com.cn/n/2014/0110/c1009-24080498.html

     人民网北京1月10日电(崔雷)近日,中央电视台新闻栏目曝光了利用12306网站的漏洞,借助电子抢票软件非法牟利的消息,立刻引起社会关注。根据调查,12306网站在售退票过程中多个环节存在漏洞。

     根据报道,网上流行着许多抢票软件,其中还包括收费的抢票工具,从几元几十元一个的“个人版”,到收费上千元每月的“企业版”,价格不等功能不一。

     记者昨天联系到猎豹公司相关负责人。对方表示,这些刷屏软件可以避开12306网站的购票规则,并且能够轻松绕过其技术限制,大量刷得火车票。

     据了解,12306网站为防止机器幕后操纵,特意对订票过程设置限制,即两次查票时间间隔不低于5秒,登陆和提交订单时需输入验证码。同时规定,普通用户通过12306每次只能买5张票。

     上述负责人表示,通过调查他们发现,这些刷屏软件可以自动寻找12306网站速度最好的服务器,提高刷屏成功的几率,然后利用网站验证码漏洞以毫秒速度自动输入验证码,并且可以规避5秒查票时间间隔,没有了这些限制之后,刷屏软件可以比常人手动抢票快“上百倍”。

     利用上述刷票软件,一些通过刷票倒卖火车票的“网络黄牛”在成功绕过验证、自动刷票、毫秒抢票之后提前利用假身份证注册上千个账号,然后批量导入这些账号同时刷票,一次性就可抢到上千张票,甚至一整节车厢的票都能被瞬间抢走。有网友直呼,“黄牛软件才真正是‘狂拽吊炸天’的抢票神器啊”。

     通过对12306网站的分析,猎豹安全专家发现,12306网站对订单提交验证码时校验不严,没有保证进入提交页后获取。该漏洞导致刷票软件可以直接获得验证码图片,查票完成后,直接提交订单,跳过验证码环节。

     对此,安全专家建议12306网站修改验证码机制,采用人工智能验证码。比如问题是,足球和乒乓球哪个大?答案是足球。1+3=几,答案是4。用户只需输入“足球”或者“4”就可以通过验证。这种验证码,机器极难回答,而人工很容易回答。

     根据报道,12306网站在身份证验证方面并没有与公安机关进行身份证系统的对接,也为“网络黄牛”提供了可乘之机,导致大量车票流入不发之徒手中。安全专家建议12306网站与公安机关进行身份证系统的对接,用户注册和购票时,需要提供真实有效的身份证信息。
这么多钱砸进去,出了问题是不是应该追下责。
我记得去年有人说会改进,不会再难登陆云云。
今年试了一下,一如既往的登不上啊……
这么多钱砸进去,出了问题是不是应该追下责。
这点钱算啥?淘宝的投入远超12306

Gannicus 发表于 2014-1-11 22:25
这点钱算啥?淘宝的投入远超12306


淘宝至少知道啥叫付了钱才算库存-1
铁路现在的抢票系统实行的是占坑可以不拉屎的策略,就是说有好多人可以为你的身份证抢同一天的票,但是只要成功了,那你可以磨磨蹭蹭地买票,并且不用处理剩下的那些票。但是售票网会向其他人反馈所有这些票目前都被预订。
反观淘宝,比如双11,你拍了宝贝磨蹭付钱,过几分钟试试看还能不能交易?
淘宝这种交易策略用于抢票才好,可惜铁路想学?
Gannicus 发表于 2014-1-11 22:25
这点钱算啥?淘宝的投入远超12306


淘宝至少知道啥叫付了钱才算库存-1
铁路现在的抢票系统实行的是占坑可以不拉屎的策略,就是说有好多人可以为你的身份证抢同一天的票,但是只要成功了,那你可以磨磨蹭蹭地买票,并且不用处理剩下的那些票。但是售票网会向其他人反馈所有这些票目前都被预订。
反观淘宝,比如双11,你拍了宝贝磨蹭付钱,过几分钟试试看还能不能交易?
淘宝这种交易策略用于抢票才好,可惜铁路想学?
淘宝至少知道啥叫付了钱才算库存-1
铁路现在的抢票系统实行的是占坑可以不拉屎的策略,就是说有好多人 ...
难道不是45分钟付款限制吗??
还能指望这帮职业道德极端底下的鸟人们干出好事儿来?

Gannicus 发表于 2014-1-12 07:48
难道不是45分钟付款限制吗??


你双十一淘宝过没?淘宝自己的规则可是下单后可以多少天来着再付款?这不比45分钟长?可是你敢在双十一拍后墨迹付款?那恭喜你,谁先付款宝贝归谁。
不过我还真就能抢到火车票再墨迹几十分钟付,啊不,我要取消这张票,因为还有十几个人(这是虚构)帮我抢到了票,所以我要花时间斟酌是选择哪张好,然后我对他们说,都别取消,等45分钟自然消失得了。同时我还找十几个人电话订购到票,那就更没有取消的方法了,因为是高铁票,所以要到次日24点才消失。
就因为铁路的2哔~售票机制,导致一个人可以占用其他票资源一段时间,造成虚假的供不应求。
买东西本来就应该先买先得,你抢到晚付款就应该承担这张票被先付款的人买走的风险。
别说黄牛党,那是犯罪,自然有国家机关查,对于普通人,就应该付款时才知道是否抢到票
Gannicus 发表于 2014-1-12 07:48
难道不是45分钟付款限制吗??


你双十一淘宝过没?淘宝自己的规则可是下单后可以多少天来着再付款?这不比45分钟长?可是你敢在双十一拍后墨迹付款?那恭喜你,谁先付款宝贝归谁。
不过我还真就能抢到火车票再墨迹几十分钟付,啊不,我要取消这张票,因为还有十几个人(这是虚构)帮我抢到了票,所以我要花时间斟酌是选择哪张好,然后我对他们说,都别取消,等45分钟自然消失得了。同时我还找十几个人电话订购到票,那就更没有取消的方法了,因为是高铁票,所以要到次日24点才消失。
就因为铁路的2哔~售票机制,导致一个人可以占用其他票资源一段时间,造成虚假的供不应求。
买东西本来就应该先买先得,你抢到晚付款就应该承担这张票被先付款的人买走的风险。
别说黄牛党,那是犯罪,自然有国家机关查,对于普通人,就应该付款时才知道是否抢到票