关于黑产账号多开，设备和 IP 的识别方案

[seekseat]

最近公司搞了一个新用户注册有奖活动，发现被职业羊毛党薅惨了，真实用户没有几个。

由于之前没有这块经验，想请教各位前辈，这种防范方案，是公司自行开发，还是购买第三方的一些解决方案？

搜了下没看到很成熟的方案，自己开发的话，能想到的主要是账号，设备和 IP 的打标。

由于账号支持使用邮件注册，所以理论上很难据此判断用户是否是一人多账号，只能想到设备和 IP 。

我是服务端，公司的产品有 web ，移动端。 前端同事说可以获取到浏览器指纹信息，客户端同学，Android 应该能拿到设备(相对)唯一的标识(但安卓改机貌似非常简单)，iOS 则很难获取到。

请教大家，都是怎么做的

[aagaguai]

只允许特定邮箱注册，比如 qq 邮箱

[seres]

手机号绑定做第一道门槛，提现用实名认证做第二道

[249239432]

ip-----代理 ip 每天几十万不等
识别浏览器指纹------指纹浏览器
识别设备指纹----云手机一键改设备指纹
-------------------------注册成本高低分割线------------------
手机号识别------灰产卡商一个人手上几千到上万不等的手机卡，每天还有更新新卡
手机号注册完以后发短信校验------这个能很大程度提高成本，大部分灰产卡商都是只收不发
人脸识别----这个能极大提高注册成本

[tomczhen]

如果短时间内就能自研一套解决问题，就不会有那么多羊毛党了。

[lonelykid]

可以搞个 1 分钱领取，通过支付渠道过滤，每个支付渠道账号只能领取一次。

[chendl111]

手机号与身份证实名，不够吗？一个邮箱也是实名后才能领取奖励

[HFX3389]

要不试试接入微信登录？在现有条件下加入微信扫码后绑定微信提供的 Openid 之类的？
利用微信的风控实现自己的风控

[qikexiu]

1 、收集客户端指纹； web 端的浏览器环境 [document.all 、webrtc 等等这种 node 环境下很难补(烦琐)；安卓、IOS 可以直接用 webview ，当然也可以在 native 收集更多的指纹 [http.proxyHost 、XposedBridge 、getProperty 、重要的文件目录 hash(/data/system 、/vendor/firmware)、frida 检测...] ，接入数美之类的专业安全产品效果更佳]
2 、客户端根据收集到的客户端指纹标记用户环境是否可信，对于有风险的客户端拒绝下发奖品（后端风控）
3 、更多的"蜜罐"，在客户端每个请求之后添加一个 log 请求，大数据统计只请求业务接口没日志接口记录的用户
4 、用户注册、邀请码接口 ja3 判断是否为单客户端批量注册

以上都是在一定程度上增加黑灰产的逆向难度，国内大厂给出了更低成本的解决办法：+86 实卡注册 + 人面实名

[ChefIsAwesome]

搞个微信注册就完事了。微信都防不住的，你也防不住。

[woldfoll]

@kenvix 职业薅羊毛的也有成千上万的微信号

[xguanren]

上风控呀 现在一大堆这种平台。

[kenvix]

@woldfoll 是 所以只是成本最低的 更好的得加钱

[xinsu]

最有效；
手机号，实名认证；
你想到其他的什么 ip 这些，这是最基础的。
最后，可以对接平台的防羊毛功能。

[winterpotato]

浏览器指纹能够帮到一些，比如说这个 https://fingerprint.com/ 但是也很容易被 绕过去就是了。

实名认证当然最有效了，不过也也很麻烦

[sakujo]

有嫌疑的全砍单，有真实用户找你反馈你再给他就完了，羊毛党是不会一个一个找你的

[icloudguizhou]

@winterpotato icloud keychain 可以设备指纹唯一的 ID
@qikexiu

[yueji]

在网上找到的一个工具，应该是你需要的
APT 检测_1.1.zip
https://url76.ctfile.com/f/54460876-1246914520-a5b937?p=5712 (访问密码: 5712)

[w3xse7en]

客户端其实有，指纹浏览器，虚拟机等手段进行规避
支持邮箱的话一般都是面向海外了，很难用人脸以及实名之类国内手段的来规避这种攻击
提供一些些思路

1. 服务端需要加上比较复杂的验签机制，例如动态下发对称加密的内容，客户端解密后再进行复杂的组合签名
2. 客户端上比较困难的图形验证码手段，例如 3d 旋转图片，匹配特定文字等，尽量用多种方案，可动态控制弹出不同类型的验证方式
3. 注册时的验证码做成语音式的，而不是文本类的
4. 业务流程上可以做些改进，例如采用邀请码的形式，并针对邀请码进行一些限制
5. 做好注册的流量监控，通常来说注册的流量不会很大，一般是稳定的，如果短时间增量过大，应该是受到攻击，可以开启 IP 限流、强制困难验证码校验，限制一段时间内获奖的总量等手段
6. IP 限流可以做成滑动窗口的，例如 30s 内某 IP 尝试注册 5 次以上则封禁 6 小时

[seekseat]

@8355 ip 代理也要成本吧，也不是无限 ip 供应。提高对方成本，高于能薅到的羊毛，应该就没动力了

[seekseat]

@proxytoworld 发现居然没有很合适的