每日新闻网 每日新闻网
 
设为首页·加入收藏·联系我们·每日新闻网人员查询
申遗成功后 良渚玉器首次亮...
申遗成功后 良渚玉器首次亮相故宫【查看原图】  [每日新闻网头条详细]
· 油轮扣押事件加剧海湾紧张...
· 中国代表团向国际电信联盟...
 
四川广安:举行特大地质灾害综合应急演练【查看原图】...
四川广安:举行特大地质灾害综合应急演练【查看  [每日新闻网头条详细]
· 快讯!章莹颖在美遇害案迎来最终裁决,...
· 少了人情干扰,更能放开手脚(深阅读)...
 
 河北怀安县房产开发...
河北怀安县房产开发乱象:无证售楼、独栋别墅、  [每日新闻网头条详细]
·  河北怀安县房产开发乱象:无证售楼、...
· 原标题:哈尔滨呼兰区14名官员涉黑调...
首  页 每日要闻 监督维权 曝光台 人物访谈 关注民生 法制聚焦 县域经济 纪实现场 企业风采 热点追踪
每日地方   群众来信   食药打假   名人字画   专题报道   焦点网谈   视频列表   旅游视界   社会热点   文化教育   生态环境   小康故事
电子商务   每日世界   每日北京   一带一路   专项治理   每日财经   每日新农村   每日新科技   每日新产业   领导留言板   金融与证卷   新能源汽车
 
黑龙江省   江苏省   浙江省   安徽省   福建省   江西省   山东省   湖北省   湖南省   广东省   四川省  
 
 
贵州省   云南省   陕西省   甘肃省   青海省   海南省   吉林省   河北省   河南省   山西省   辽宁省  
 
每日新闻网:首页 >  >> 正文
纪实现场  



网站植入抓取代码 窃取手机访客隐私





每日新闻网2019/7/8 | 来源:人民网 | 作者:

  记者用手机访问了测试网站,手机号立即被系统抓取。

  抓取系统后台,可看到访客搜索的关键词、手机号等隐私信息。

  仅仅是打开网页看了几眼,自己的手机号就被泄露了,“黑客”们真能办到吗?近日,新京报记者亲测了网络售卖的“最新抓取技术”,用4台不同号码的智能手机浏览“做了手脚”的网站,其中2台手机的号码被成功抓取。

  这项测试源自今年6月的一次经历,新京报记者用手机4G网络浏览一个教育项目网站后,接到了该项目招商人员的电话,但记者并未向其透露自己的手机号。面对质疑,招商人员支支吾吾,声称是从网络服务商处获得。无独有偶,记者搜索网页,发现有多位手机用户在浏览网页后,接到相关的推销电话,而他们均未告知电话号码。

  网络安全专家告诉记者,用户手机号码泄露可能是访问的网站使用了手机访客抓取技术,这是一种网络黑产,受警方打击。

  记者检索发现,多个博客、论坛有关于抓取技术的售卖网帖。为了验证技术的真实性,记者联系发帖人,获取了一段抓取代码,随后自建网站植入了抓取代码,用自己和同事的手机号分别测试,发现此类抓取技术确实能在机主不知情的情况下,获取手机号码。

  点开网页瞬间抓取手机号码

  “2019最新抓取技术,支持测试,有需要请联系。”

  这是来自“中国专业IT社区”论坛的一条留言,新京报记者联系上发布者赵星(化名),他告诉记者,现在很多网站用抓取技术,手机点进来的瞬间,后台就能看见手机号码,不需要任何其他操作。

  “你可以先测试一下,用4G网络,关掉WiFi,手机浏览器访问这个网址”,赵星见记者有疑惑,主动提出先测试技术,并给记者发来一个测试网址。

  按赵星的要求,记者用手机4G网络点开网址,这是一个没有内容的空白网站。一分钟内,赵星就在QQ上一字不差地报出了记者的这台手机的号码。

  记者复制了赵星的网站代码,发送给一位从事手机App开发的李先生。李先生看过代码后称,这个网站表面上很简单,是空白网页,但是它会检测你的访问设备,如果发现是手机访问,网站就会跳转,从另一个网站下载代码,获取访客的手机号码等隐私信息,这些过程普通的访问用户无法察觉。

  访客手机号码卖1元1条

  这些网上售卖的抓取技术论条计费,需要一次性充值1000元起,每抓取一条手机号码,扣除相应的单价。出售抓取技术的周伟(化名)告诉记者,抓取自己网站的访客手机号码,售价1元一条,还有抓取他人网站的访客手机号码的技术,5元一条。

  “如果抓取别人的网站,只能抓普通‘http’打头的网页访客,不能抓‘https’打头的,因为加密传输的抓不了。除了网页,手机App也能抓取,技术都是一样的”,周伟称。

  对于抓取别人网站的访客,赵星则称比较麻烦,“抓别人网站,抓取系统需要建模,7个工作日才能出数据,7元一条,充值需要1000条起,不支持测试。”

  赵星称,访客抓取有一定成功率,一个网站1000条流量,大约能抓150-200个手机号码,比如手机连WiFi上网就走宽带线路了,无法抓取。除了手机号码,抓取系统后台还可以看见关键词来源、落地页、手机系统、IP、访问时间等访客信息。

  实测四台手机两台被抓取号码

  实现网站的访客手机号码抓取,需要在网站上安装一组代码。

  为了验证赵星等人的说法,7月1日,新京报记者租用服务器空间、注册域名,建了一个用于测试的网站。随后,赵星给了记者一段抓取代码。记者把这段代码植入网页,上传至测试网站。

  记者先后用电脑和连接WiFi的手机访问测试网站,抓取系统后台未有反应。当使用手机4G网络访问测试网站,赵星立刻报出了抓取的手机号码,并发来后台抓取到的号码截图,与记者当时使用的手机号码一致。

  之后记者使用4台手机分别测试,两个手机号码被抓取,另外两个未被抓取。

  赵星表示,为了规避打击,抓取系统后台并不直接显示手机号码。而是有一栏5位数的“设备ID”、和一栏5位数的“编号”,赵星告诉记者,把“设备ID”和“编号”连起来,前面加一个“1”,就是11位的手机号码了。

  在后台的截图中,记者看到系统还能显示访客的手机操作系统、访客来源、用户IP和访问时间。

  卖家称地产、教育、医疗行业抓取最多

  赵星称,从他这购买抓取系统的客户主要来自房地产销售行业,另外教育培训行业也有十几个客户。

  从赵星客户的抓取系统后台,记者看到用户操作的敏感信息一清二楚。有人搜索“五年制大专”进入南京一所民办学校的招生网站,被抓取了手机号码;还有人搜索“房价走势消息”进入嘉兴一个楼盘销售网站,被抓取手机号码;另外有人搜索“亲子儿童早教”进入一个号称美国品牌的早教网站,被抓取了手机号码。

  除了房地产销售、教育培训等行业,周伟告诉记者,“最多的就是医疗行业的客户,抓取业务就是从医疗行业的客户开始做起来的”。

  赵星提醒他的客户,抓取技术会被网警打击,要低调使用。“不要去卖数据,自己网站的访客数据自己看,抓取以后隔半天再打电话。”

  ■ 案例

  网站向专科医院售抓取代码 33人涉案

  据新京报此前报道,2017年北京海淀警方查获26个非法获取公民信息网站,33人涉嫌侵犯公民个人信息罪被批捕。

  海淀分局网安大队民警调查发现,有非法网站向一些“专科医院”、“美容医疗机构”网站出售抓取代码。民警介绍,这些代码只是在该网站代销,编写的另有其人。编写代码者负责制作并收取使用费;网站负责售卖代码,并收取使用代码网站的使用费;而使用者购买这些代码后,要按收到手机号的条数支付使用费。

  警方在15省18地市展开侦查,查获非法获取公民信息的网站26个、手机号等个人信息上百万条,梁某等33人因涉嫌侵犯公民个人信息罪,被检察机关批准逮捕。

  办案民警介绍,用户在浏览加装了代码的网站时,就会被抓取手机号码等信息,而网站根据用户搜索的关键词等,还可以掌握对方医疗等方面的私密信息,然后通过电话精准推销。

  ■ 专家说法

  自家WiFi比移动数据上网相对安全

  网络安全专家邵彤称,用户手机访问网页过程中,有几种可能泄露手机号码:你的手机知道你的本机号码(比如SIM卡里写入了本机号码),流氓网页通过浏览器的接口或者漏洞获取了。

  另外,邵彤称,浏览器的Cookie里包含你的手机号码绑定的第三方网站账号相关信息,第三方网站将其泄露给了流氓网页。如果使用数据连接上网,运营商知道手机号码,流氓网页通过运营商的接口可以获得访问者的手机号码。

  邵彤提醒称,普通用户上网,建议电脑上安装知名杀毒软件,不浏览来历不明的网站;手机用户使用知名浏览器,不安装来历不明、需要越狱的root或者盗版App;另外,使用家里的WiFi上网比数据连接上网相对安全。

  新京报记者 陈奕凯

(责编:车柯蒙、付长超)

推荐阅读

 

请分享到:
 
【字体: 】 【 打印本页 】 【 关闭窗口
 
关于我们 | 设为首页 | 加入收藏 | 广告合作 | 版权声明 | 联系我们

每日新闻网地址:北京市海淀区羊坊店路3号
每日新闻网站备案/许可证工信部lcp备案中心:京ICP备16060353-2号  京公网安备 11010802027822号
京ICP备16060353-2号 每日新闻网http://www.everyday-news.com.cn/提供最新国内外新闻及新闻资讯.信息网络传播视听节目许可证:0110537号 
常年法律顾问:北京友斌明录律师事务所 有关新闻稿件及版权事宜请联系:010-52463177 010-58492972 18611141167
163邮箱:mrxwwlzs@163.com QQ邮箱:1026329972@QQ.com