近日，中央電視臺新聞欄目曝光了利用12306網(wǎng)站的漏洞，借助電子搶票軟件非法牟利的消息，立刻引起社會關(guān)注。根據(jù)調(diào)查，12306網(wǎng)站在售退票過程中多個環(huán)節(jié)存在漏洞。
根據(jù)報道，網(wǎng)上流行著許多搶票軟件，其中還包括收費(fèi)的搶票工具，從幾元幾十元一個的“個人版”，到收費(fèi)上千元每月的“企業(yè)版”，價格不等功能不一。
記者昨天聯(lián)系到獵豹公司相關(guān)負(fù)責(zé)人。對方表示，這些刷屏軟件可以避開12306網(wǎng)站的購票規(guī)則，并且能夠輕松繞過其技術(shù)限制，大量刷得火車票。
據(jù)了解，12306網(wǎng)站為防止機(jī)器幕后操縱，特意對訂票過程設(shè)置限制，即兩次查票時間間隔不低于5秒，登陸和提交訂單時需輸入驗(yàn)證碼。同時規(guī)定，普通用戶通過12306每次只能買5張票。
上述負(fù)責(zé)人表示，通過調(diào)查他們發(fā)現(xiàn)，這些刷屏軟件可以自動尋找12306網(wǎng)站速度最好的服務(wù)器，提高刷屏成功的幾率，然后利用網(wǎng)站驗(yàn)證碼漏洞以毫秒速度自動輸入驗(yàn)證碼，并且可以規(guī)避5秒查票時間間隔，沒有了這些限制之后，刷屏軟件可以比常人手動搶票快“上百倍”。
利用上述刷票軟件，一些通過刷票倒賣火車票的“網(wǎng)絡(luò)黃?！痹诔晒@過驗(yàn)證、自動刷票、毫秒搶票之后提前利用假身份證注冊上千個賬號，然后批量導(dǎo)入這些賬號同時刷票，一次性就可搶到上千張票，甚至一整節(jié)車廂的票都能被瞬間搶走。有網(wǎng)友直呼，“黃牛軟件才真正是‘狂拽吊炸天’的搶票神器啊”。
通過對12306網(wǎng)站的分析，獵豹安全專家發(fā)現(xiàn)，12306網(wǎng)站對訂單提交驗(yàn)證碼時校驗(yàn)不嚴(yán)，沒有保證進(jìn)入提交頁后獲取。該漏洞導(dǎo)致刷票軟件可以直接獲得驗(yàn)證碼圖片，查票完成后，直接提交訂單，跳過驗(yàn)證碼環(huán)節(jié)。
對此，安全專家建議12306網(wǎng)站修改驗(yàn)證碼機(jī)制，采用人工智能驗(yàn)證碼。比如問題是，足球和乒乓球哪個大？答案是足球。1+3=幾，答案是4。用戶只需輸入“足球”或者“4”就可以通過驗(yàn)證。這種驗(yàn)證碼，機(jī)器極難回答，而人工很容易回答。
根據(jù)報道，12306網(wǎng)站在身份證驗(yàn)證方面并沒有與公安機(jī)關(guān)進(jìn)行身份證系統(tǒng)的對接，也為“網(wǎng)絡(luò)黃?！碧峁┝丝沙酥畽C(jī)，導(dǎo)致大量車票流入不發(fā)之徒手中。安全專家建議12306網(wǎng)站與公安機(jī)關(guān)進(jìn)行身份證系統(tǒng)的對接，用戶注冊和購票時，需要提供真實(shí)有效的身份證信息。(崔雷)
