浅谈业务防刷

背景

直播间的观众人数越多，主播房间的热度就越高；越多人关注的主播，就可能被更多的人关注；有账号就能领鱼丸；视频/文章被观看数量越多，就可能被越多的人观看；新用户送优惠等等，这些场景都需要防止（灰产）刷量

增加同一IP次数限制，增加图形验证码，增加短信验证码，增加设备指纹判断等，这些是常用且通用的手段

然而限制IP的对大区域网络公用IP不太友好，容易误伤，灰产业能轻易绕过；图形验证码不但可以机器学习自动识别，还能接入打码平台；短信验证码也有接码平台；设备指纹就成了能在技术上进行对抗的“救命稻草”

 

设备指纹

设备指纹防刷原理：使灰产购买设备的成本增加。通过对每个设备（手机/PC）生成唯一设备ID，且该ID不可伪造，且每个ID只能领一次红包，那么灰产就需要购买更多设备进行刷量。

设备指纹生成原理：采集客户端（手机/PC/浏览器）各种参数  》》通过混淆过的加密算法加密参数串然后传给服务器  》》服务器端解密之后校验各参数串是否在合理范围，合理则返回设备id（数字字母串）

例如下图数美科技的浏览器设备指纹所用的参数

技术对抗点：设备指纹需要结合客户端代码（被动指纹技术暂不考虑），故需要对客户端关键代码进行混淆、反调试，尽量增加灰产分析的难度。

 

集成数美设备指纹

1、数美不仅采集了设备参数并关联用户行为，如图

https://www.fengkongcloud.com/product/device.html

2、查看PC浏览器版设备指纹的数据包

可在页面中抓包https://passport.douyu.com/index/login

获得设备指纹的请求数据如下，smdata为加密的设备参数，详细分析见https://blog.csdn.net/haoren_xhf/article/details/81909788

3、业务调用方通过请求数美接口获取设备deviceId，然后将deviceId附加到业务请求发送给服务器

集成文档https://www.fengkongcloud.com/tools/doc/SDK%E6%8E%A5%E5%85%A5%E6%89%8B%E5%86%8C1.0.0.pdf

这里关键点：业务服务器需校验deviceId是否合理（非任意伪造）

 

总结

1、通用防刷策略最终需要采用设备指纹，设备指纹技术对抗点在于客户端关键代码的混淆和反调试

2、被动设备指纹：通过TCP协议栈等在服务器端自动生成设备ID，不需要客户端显式传参数。技术门槛高

3、特定业务防刷，可关联前后行为模式，多步联动