那些年我們「投（shua）」過的票（續）

*本文原創作者：西毒若相惜，本文屬FreeBuf原創獎勵計劃，未經許可禁止轉載

前言

看到上一篇別人寫的投(shua)過的票，感覺狗熊所見略同。

上篇的博主好像就死磕一個網站，使出了渾身解數與其進行對抗，最終勝利。這裡我寫一篇續集，來幫大家梳理一下幾乎所有的刷票類型。（刷票，刷粉，刷贊等異曲同工）

刷票難度從簡到難，循序漸進。

一，無任何限制，簡單到爆炸

毫無懸念，最簡單的一種刷票，是個人都會

直接點擊投票按鈕即可投票，無任何限制，小白就滑鼠不停點擊投票即可，相關從業人員可以程序實現。

url="http://xxxxxxxx"while 1:
urllib2.urlopen(url)//死循環發起請求即可

二，客戶端限制，可欺騙小白

我們知道，一切來自客戶端的數據都是不可信的

這種情況比較典型的是投票過後，按鈕變灰，不可點擊繼續投票

相關從業人員肯定知道

1.修改或刪除disabled屬性

2.既然是客戶端限制，還是直接往服務端發包就行了

三，偽客戶端限制，小白也會做

有時候投完票，會告訴你投票成功，再次投票會告訴你已投票。

排除上面第二種情況客戶端的限制，暫定此處是服務端進行驗證

這種情況我發現有些非安全從業人員，他不懂其中的原理，但是他會發現

1.換個瀏覽器即可重新投票

2.清除下瀏覽器緩存即可重新投票

他們不懂，但是我們要搞清楚其原理才行

通過換個瀏覽器進行的刷票，極有可能是驗證了User-Agent，通過變換UA即可。

之前是遇到過，但是一時找不到案例了，從前wy那邊找了一個

http://cb.drops.wiki/bugs/wooyun-2011-02376.html。

不過這種驗證UA的策略，之前在某webshell那裡遇到過

某webshell，正常訪問就返回一個404的友好頁面，假裝自己不存在

實際上則UA正確的話會呈現原本的樣子

清除瀏覽器緩存進行的刷票，極有可能是驗證了cookie內容（其實這個應該算客戶端驗證的）

可以看到cookie中有個欄位vote，會進行驗證。

四，偽IP限制，知道的人肯定會

顧名思義，這並不是真的以IP來限制投票次數，或者說沒有達到限制IP的效果

程序獲取客戶端IP有幾種方式

HTTP_CLIENT_IP

HTTP_X_FORWARDED_FOR

REMOTE_ADDR

前兩種方式均可以通過http header來顯式的偽造

所以我們通過偽造不同的客戶端IP即可繞過存在此問題的某些站點

程序實現就是在header里自定義即可

headers = {

"host":"xxxxx",

"User-Agent":"xxxxx",

"X-Forwarded-For":"111.222.333.444"

......

}

五，真IP限制，不知道的人可能也會

如第四點所說，通過REMOTE_ADDR獲取的IP地址，是可信的，是不可顯式的偽造的，那就是換ip地址嘛

如上篇所說，那就找一下網上的代理即可。

這裡給出一個小Tips：移動網路每次飛行模式後獲取的IP不一定一致，可以多投一些票

六，圖片驗證碼，然並卵

然並卵不是說圖片驗證碼沒有用，只能說攻防是相對的，沒有絕對的安全。

1.簡單的驗證碼，OCR識別（技術不多說，見上篇吧）

2.複雜的驗證碼，可能出現驗證碼失效的問題，一個驗證碼可以多次使用

3.類似滑動解鎖，12306的驗證碼等，網上也有大把的現成的針對人機識別的技術，這裡不再多說

七，賬號登錄，就GG了？

需要登錄投票，也並不是就不行了，還要看程序是如何實現的

我們假設兩種情況

1.需要賬號登錄進行投票，但是沒有限制好策略，導致可通過以上6點進行投票

2.假設程序寫的很好，已經很好的限制了一個賬號只能投一票

我們再進一步說下第二種情況吧

這種情況的根本解決方案就是：搞到很多賬號進行投票

(1)假設它有漏洞，可批量註冊賬號

什麼郵箱，手機號等，像上篇那樣郵箱可以重複利用，又或者手機驗證碼可控等，總之就是有漏洞批量搞到賬號

(2)假設它無漏洞，類似微信~

評論中看到很多表哥問到微信的如何刷票，我只能說，利用我們自己有限的手段，是做不了的。

任何通過關注微信或者微信授權登錄後進行的投票，均存在微信id的唯一性驗證，而憑藉我們自己，哪裡去搞這麼多微信賬號哦~

或者說我們費勁搞了這麼多賬號僅僅為了投票？那也太沒必要了。

當然，微信刷票也成為一個產業，有些機構擁有大量微信賬號，可以付費搞這個事情。

八，最後說下羊毛黨

相比下微信刷票的難度，我們可以跟更高層次的羊毛黨做下比較

他們擁有大量的手機號

他們擁有大量的銀行卡四要素數據

他們去各種地方薅羊毛

他們應該看不上單純刷票這種無利益的東西…

最後一句話，個人見解。羊毛黨是擋不住的，我們的核心思想是讓羊毛黨在我們平台多停留會~

*本文原創作者：西毒若相惜，本文屬FreeBuf原創獎勵計劃，未經許可禁止轉載