运营活动遭遇刷奖，无奈清空奖池，求大神赐教！

[king14]

最近公司推了一个基于微信浏览器的运营活动，大体内容就是用户可以通过分享为好友加分，所得分数用于抽奖游戏，奖品包含现金红包及手机等实物。 结果在活动推出的头几天就遭遇大范围的刷奖，后台收到模拟请求将近 5000 次 /秒，请求中 UA 不变， IP 及用户 id 动态变化（ id 均为有效 id ）。 请问除了通过访问频次将 id 加入黑名单之外（这个可能误伤），还有什么好的方式来预防类似的刷奖行为吗？求各位大神赐教！

[kungfuchicken]

1. 每个分享连接都计算一个独立 hash 入库（每个用户分享 N 次，这个用户就有 N 个不重复的 hash 入库），把 hash 作为分享 URL 一个参数，加分判断时检查 hash 存在且对应传入用户 id ，且才能加分。
2. 上 IP 频率黑名单，发现有问题的请求不要给错误信息，前台给正常信息但是不加分（以免让刷分者发现异常），然后在后台记录流水，即使有误伤正常用户，通过流水也能正常用户补分。

[046569]

可以在 WAF 中部署规则,识别攻击者和访客行为的不同.比如攻击者访问流程和普通访客不同,或其它.

[king14]

@046569 有想过通过用户行为来区分，比如抽奖请求和领奖请求之间必须经过查奖这一过程，不过如果攻击者模拟的时候同样按照这个顺序发送请求会怎么办呢

[king14]

@kungfuchicken hash 值放在 url 里的话攻击者也可以拿到，这样的请求到后台也会是有效的吧

[notgod]

真是的 直接内定了
奖品都给我吧 省得麻烦

[king14]

@notgod 这想法不错

[magicsilence]

上滑动验证

[UnisandK]

/t/272482 可以跟这哥们儿联系一下，抽奖流程增加手机验证

[allenhu]

只能说明你流程有漏洞

[MrMario]

找阿里的风控，加个滑动验证

[king14]

@magicsilence
@UnisandK
这个可以有

[king14]

@allenhu 是有，这不是在想怎么改进么

[frozenshadow]

请看我之前的一个帖子。。。。手机不方便翻

[046569]

@king14
比如抽奖动画 4 秒,他查询的时候是否低于这个时间,低于则判定有问题.
不要设定单一规则判断,而是多条规则组合出一个阈值.比如此人输入查询页面缺乏 referer ,又频率过快,超过正常人水平,即可判定是外挂.

[shiny]

用微信的 oAuth 验证唯一用户，刷奖成本就上去了

[won]

自己公司开几台服务器用同样方式对刷，稀释奖池

[winterbells]

还真能抽到 il||li (OдO`) il||li
我以为抽奖都是骗人的。。。。

[xman123]

某东上的一个 API 接口： http://wxlink.jd.com/market/api/10570

[dream7758521]

后台直接调数据库，指定用户中奖

[king14]

@shiny 这次活动初步统计有 2W+的真实刷奖 openid ，都是验证过后相互加分