首页 > 分析 > 关键词 > 团购网站最新资讯 > 正文

人生如戏:被黑产蹂躏的团购网站

2014-03-05 17:49 · 稿源:人生如戏

听闻嘀嗒团团购业务月底就结束了,相比之前的24券, 这确实不算一件值得惋惜的事情, 毕竟创始团队套现了,金主又不差钱。 按照江湖规矩,还是要八一下嘀嗒团的事情。

嘀嗒团成立的时候,创始团队是谷歌出来的一批人,刚开始也没引起黑客的注意,因为用的并不是最常见的模板(当时85%以上的团购网站都在用一款叫“最土”的开源软件,该软件创始人戴书文也是我朋友,后来被美团收购)。 我大概是在2010年夏天抛出了最土的一个盲注漏洞的技术细节(后来得知之前有一个黑客发表过同样的漏洞,但是并未引起注意), 随后经各种渠道流出,被一帮无脑的入侵流利用起来,引起了大批量网站管理员密码被改, 当时这个软件又没有快速恢复管理员密码的好办法, 当时猛买, 24券等等全数中招,在这个情况下戴书文立刻上了一个补丁,并且让各站长下载了一个密码恢复脚本。

对于这波冲击,这些网站是不吃亏的,因为漏洞一旦公开,就会带来大面积的修复,对于这些创业者来说,损失其实不大, 只不过大多网站都没有做好安全善后工作, 不仅有大量存留的后门(webshell),漏洞还没有被完全修复。 这里做得最好的是猛买网, 第一次被黑后立刻醒悟,直接从源头制止了盲注。然而没过多久, 嘀嗒团换了模板,就如同赵传那首歌的歌词一样——立刻成为了猎人的目标。

这个漏洞该利用一个magic_quote被迫被关闭的情况,做了一个sql截断。攻击者可以用盲注获得用户表的内容,包括管理员的邮箱,用户名,和加密后的密码。 密码是salt + md5, 固定盐,跑表也能破, 但是还有更简单的方法, 就是伪造cookie直接进入后台, 即便进不了也没事,可以使用密码找回功能,构建一个修改密码的url, 这个url里面的加密参数也可以被盲注出来。 光是有后台还没用, 后台有一个通过修改模板拿shell的办法,shell拿到基本都能提权(提不了权也不影响拖库等),一套组合拳下来服务器就整个被端了。

不过有很多玩黑产的(号称黑客)并不彻底用技术,而是直接选择去社工管理员邮箱, 这里又是八仙过海,什么龌龊的办法都能想得出来。 我记得24券杜一楠邮箱被人贴出来是aarxx.xx@gmail.com(xx代替了缺失的字母,不过很好猜), 嘀嗒团的超级管理员则是一个姓段的员工, 也是gmail,估计也被社工了不少, 如果当事人有幸能看到这篇文章的话,应该能补充一下当时收了多少密码取回邮件, 都是那一帮低端黑客弄的。

而我呢?我在“呵呵”。 呵呵的原因是那个漏洞修复的方式实在太欢乐了, 竟然只过滤了空格, 要知道过滤攻防可是黑客的基本功啊, 于是select * from user 不能用了,但是select(*)from(user) 就用得好好的, 即便括号被封了还可以用/**/ 这样的注释插入。 据说后来like团 偷偷过滤了几个关键字,但是依然被绕过, 差点把我八块腹肌都笑出来——你知道问题出在这还不修复地干脆点? 跟入侵者过家家吗? 虽然我身在异国他乡,但是可以很明显感受到华丽地暴风雨就要来了。

到了2011年,团购进入了一个爆发年,京东团购也用了最土的模板, 结果自然不说了(好在后来改了也换了), 去哪儿的团购也是最土,不过貌似很快就改了登陆方式,我没有仔细研究,驴妈妈也是类似的情况。 不过2011年做得稍微有点规模(日订单1万多)的团购网站都在拼命融资, 这下黑产的人笑得开心啊。 很多做名鞋库等公司飞单的黑产外围从业者也加入了这场大洗劫, 还有一些更为狗血的八卦如阿丫团事件,细节就不说了。 我记得走秀网几次宣布融资还是跟ebay苟且的新闻出来的时候, 很多江湖传言一个做黑产代发货的老板豪门夜宴感谢美帝送钱来了。 米奇网宣布融资的时候,估计黑产业者比公司员工还要兴奋。

2011年下半年还有一件事,让我很没面子的,就是最土又暴露了一个大漏洞,这个漏洞的利用很简单,就是用火狐或者chrome,在input name = username的时候改成username[=1 or true#],这样成了一个数组,在build query的时候直接贴后面,就按照超级管理员的身份判定登录了。 这招好强大啊, 好犀利啊, 好炫丽啊! 尼玛我在那里要死要活捣鼓什么盲注啊,弱爆了有木有?这个技术细节的泄露下导致更大规模的黑产,但是也为后来双输埋下了伏笔。

这个漏洞被大规模公开还是在360, 直接给出了修复手法,让众多站长禁止该表单提交的变量为数组。 好处就是解决了很多低端小玩家,拖延了大家的存活时间。 坏处则很明显, 盲注流被保存了下来。

黑产由于良莠不齐, 像24券这样的容易忽视的, 以及嘀嗒团这样的只是简单对付一下的(嘀嗒团在乌云被爆过几次漏洞,但是厂家直接忽视,偷偷修复),自然就被大魔王和小鬼一起进来了, 由于小鬼不太懂游戏规则,不尊重生态, 太贪婪, 导致最后大家都没饭吃, 后来24券倒下的时候,整个电商黑产从业者依然兴致勃勃的搞其他网站,没有哪怕一丁点的反思。 而整个团购网站覆盖多少用户呢? 去重可以有几千万之多, 也就是黑产早已经拥有了几千万具有付费能力的用户, 电话诈骗的直接一个电话过去: 您好,请问是xxx吗? 我是xx团的, 请问您在上个月10号消费了xxx, 对吗? 之后就开始各类诈骗,这样的玩法基本上覆盖了整个女性消费b2c和团购(我还没听说过哪家化妆品幸免的)。

2012年到了这个行业最疯狂的时候, 因为洗牌了。 洗牌的结果就是老板要开始卷款跑路, 小兵也在A公司的钱(公司不发工资了,我自己想办法黑钱),于是这帮吸血鬼都在最后时刻把还没用掉的热钱榨取干净, 通常这些公司现金流都不错,因为从用户手上收钱是即时到帐,但是跟商家结款是有一个回款期的,结果就是等商家上门的时候很可能已经人去楼空了。

这占据了大半个行业的悲剧,根源还是在于互联网创业公司安全意识过于薄弱,整个就是一个宿主, 最后垮掉是因为寄生虫太多, 而垮掉后,这些寄生虫也就消停了, 所以我前面说了是一个双输。 但是寄生虫并没有死掉, 他们还在别的地方潜伏着,继续等着下一个机会。 这个机会也许就是最近热门的互联网金融,Mt. gox就是一个很好的案例。

文/Roy li

  • 相关推荐
  • 大家在看
  • 嘀嗒出行IPO

    昨日晚间,嘀嗒出行正式向香港交易所递交招股书,拟在港交所挂牌上市。招股书显示, 2019 年,嘀嗒平台交易总额(GTV)为 110 亿元人民币。2017、 2018 和 2019 年,嘀嗒的营业收入分别为0. 49 亿元、1. 18 亿元和5. 81 亿元。经调整净利润分别为-0. 97 亿元、-10. 68 亿元、1. 72 亿元。

  • 社区团购单城破千团 赞麦源选服务 20 万杭州家庭

    在电商之都杭州运行数月后,社群团购平台赞麦源选已通过微信小程序面向全城开启全面推广,截至目前,“赞麦源选”已经在杭州完成了超 1000 名社区“团长”的开团,为超过 20 万家庭用户提供了服务。依托创新 用心服务中国家庭据了解,本次赞麦源选突破单城千团的大关,仅仅距离其项目启动不足三个月,距离其小程序上线不足首月。作为一个刚刚起步的项目,在项目成立首季就完成了单座城市 1000 团开团,日订单过万的成绩,这在已经?

  • 顺风车进入收获季,嘀嗒上位靠运气?

    ​“疫情之后,快接 100 单了。”顺风车车主鹿阳对深燃财经表示。因疫情期间出行需求减少一度离开顺风车平台的他,最近的使用体验非常良好,即便是接到只搭乘过几单的新乘客,也不需要再跟对方强调,“别叫我师傅,我们是顺路行为,我不是职业司机,还需要你谅解。”

  • 如果你的网站已经过时了,咋整?

    市场营销的目的无疑就是为了吸引用户的注意力。关注者、朋友、访客、粉丝、点击、喜欢、分享都是吸引关注的量化表达。要想在游戏中立于不败之地,你需要一个有吸引力的网站、一个有用的博客和引人注目的视觉效果。

  • 闷声发财、错位竞争:嘀嗒出行要先去敲钟了

    在滴滴上市传闻甚嚣尘上、扑朔迷离的时刻,嘀嗒已经先一步向港交所提交了招股书。而现在离滴滴与Uber中国合并成为国内出行市场老大,已经过去了四年时间。

  • 抢占移动出行第一股,不做网约车的嘀嗒会有怎样的未来?

    头部玩家滴滴在年初提出“0188”三年目标,以增长为目的开启了一系列新业务,并推出新品牌重启大额补贴。基于滴滴在业务上的积极态度,外界对其IPO进程多有猜测。近日,另一家出行平台嘀嗒同样传出赴港上市传闻,据路透社旗下IFR报道,嘀嗒最快本月或下个月递交上市申请,极有可能抢先滴滴一步,成为共享出行第一股。

  • 嘀嗒崩了 滴滴预测今天将是2020最难打车日

    今日,在滴滴崩了之后,又有部分网友称自己的嘀嗒出行APP出现了宕机的情况,地图页面显示“服务故障,请稍后重试,当前位置获取失败”。据悉,目前滴滴故障已经修复。此前,滴滴预测今天将是2020 最难打车日,国庆节启程高峰将出现在 9 月 30 日。

  • 维基百科网站即将大幅改版

    DoNews 9月25日消息(记者 刘文轩)知名线上百科全书网站维基百科(Wikipedia)在过去 20 年来,已经拥有 5300 万个条目,支持各种语言,但用户界面始终没有任何明显变化,一些元素看起来甚至有些过时。2019 年 5 月起,维基媒体基金会启动一项多年计划,着手于改进维基百科桌面版的用户界面,包括重新组织 logo、可折叠侧边栏、目录列表等。这些改变将逐步引入,让用户有充分的时间测试和反馈。如果一切顺利,这些变化将在 2021 ?

  • 嘀嗒出行向香港交易所递交招股书 拟在港交所挂牌上市

    昨日,嘀嗒出行正式向香港交易所递交招股书,拟在港交所挂牌上市。招股书显示,2019年,嘀嗒平台交易总额(GTV)为110亿元人民币。2017、2018和2019年,嘀嗒的营业收入分别为0.49亿元、1.18亿元和5.81亿元。嘀嗒在中国顺风车市场排名第一, 2019 年市占率66.5%。截至2020年6月30日止六个月,嘀嗒平台的平均月活用户为1,470万名。

  • 易鑫集团:易车与买方团正进行合并

    9月25日消息,易鑫集团发布公告称,联席要约人拟向股东、购股权持有人及潜在投资者提供最新消息:易车与买方团已正进行合并及如易车所告知,于2020年7月20日(纽约时间)向美国证券交易委员会呈交一份根据1934年证券交易法第13(e)节所作出的规则13E-3交易声明书草拟本并随附委讬声明书后,证交会已就美国存案提供意见。于2020年8月12日、2020年9月3日及2020年9月8日(纽约时间),已分别向证交会呈交回应函件及经修订?

  • SEO排名,如何提高网站信任度?

    ​在现实生活中我们知道在人与人之间建立信任是社交活动十分重要的事情,这一点对于搜索引擎而言,也不例外,一个受信任的网站,往往会得到更多的流量倾斜。

  • 如何把快死掉的网站变成月入40万+的摇钱树

    ​今天介绍的案例是一个利用百度SEO产品, 2 年时间把快死掉的网站做到月入 40 万+的摇钱树。网站 2018 年建站,只用了 2 年,做到权7,日流量 16 万+。同样的业务逻辑,同样的内容,网站前身SEO流量还是0。这家公司的SEO策略有哪些值得学习的地方呢。一起聊聊

  • 网站导航:7个最佳实践,设计技巧和警示

    一些小的事物可以创造大的变化,网站导航栏就是一个很好的例子。导航的结构和标签可能会对结果产生巨大影响

  • 我建了一个小众软件评论网站,靠SEO实现6位数收入

    再小众的市场,如果做到极致,也能让你获得可观的收入。比如SelectSoftware Reviews (下文简称为SSR)是一个人力资源软件评论网站(网址:www.selectsoftwarereviews.com),致力于帮助人力资源和招聘团队通过免费的在线指南找到并购买最佳的软件。

  • YouTube网站重新提供面向iOS 14画中画的兼容性

    YouTube周四恢复了对苹果iOS14 画中画功能的兼容,这将可以让所有用户从他们的移动版浏览器最小化内容然后查阅其它信息。本月早些时候,YouTube做出了一个有争议的改动,将PiP功能限制在YouTube Premium用户范围。

  • 嘀嗒港交所IPO:2020年上半年调整后净利1.5亿

    DoNews10月8日消息(记者 吴丽)10月8日,嘀嗒出行(以下简称“嘀嗒”)正式向香港交易所公开递交招股书,拟在港交所挂牌上市,海通国际资本有限公司及野村国际(香港)有限公司为联席保荐人。招股书显示,嘀嗒是中国领先的技术驱动型移动出行平台,旨在创造更多的交通运输能力,同时减少对环境的影响,以“让出行生态系统更高效和环保,让每次出行变得温暖和愉悦”为使命,采用双管齐下的策略,专注顺风车和出租车发展。嘀嗒未来将?

  • 一普尼克烘焙魔方,年轻人的玩味新团宠

    帅炸!这款一普尼克烘焙魔方,是真的惊艳到我了!对于年轻人来说,幸福很简单。有时是在某个悠闲的下午,品尝着自己制作的精致西点。有时是在某个醒来的早晨,只花几分钟就有一顿飘香的早餐。对于很多人来说,有时的幸福,就只有一个烘培魔方的距离。在幸福这件小事上,品牌EPRONIC一普尼克也一直不余遗力为年轻消费者谋求幸福。EPRONIC一普尼克是一个以“幸趣生活”为理念的美式家电自创品牌,自 2018 年低调在海外市场征途大海,已

  • Facebook被指扼杀左倾新闻网站流量

    据外媒TheVerge报道,《华尔街日报(WSJ)》报道称,Facebook在2017年对其新闻feed算法进行了修改以减少MotherJones等左倾新闻网站在其平台上的可见性,据悉,该计划由CEO马克·扎克伯格亲自批准。

  • 网站测速就找ping.cn,一个更加专业实用的ping检测工具

    相信不少网站运营者时常会用到ping操作检测网站速度等问题,不过目前国内很少有专业的ping检测平台,比如监测节点覆盖地区少、覆盖不全面、检测节点不稳定、检测结果不准确、功能少等情况。

  • 企业网站排名回升后,快速下跌是什么原因?

    国庆假期期间,很多SEO人员,都是喜笑开颜的,理由非常简单:大量的网站关键词排名都开始回升,特别是之前一些“作弊”的网站,很多站的权重大幅度的提升。

  • 参与评论
文明上网理性发言,请遵守新闻评论服务协议
  • 热门标签