本文梳理了黑产IP资源的进化史，并着重阐述了威胁猎人对秒拨技术和资源相关研究，以及如何突破秒拨IP的识别问题。文章由威胁猎人（ID：ThreatHunter）原创发布，并受法律保护。如需转载、摘编或利用其它方式使用本报告文字或者观点的， 请与我们联系。违反上述声明者，将追究其相关法律责任。

前言

IP，作为互联网空间中最基础的身份标识，一直以来都是黑产与甲方争夺对抗最激烈的攻防点。

然而，在威胁猎人深耕业务安全领域数年的时间里，发现黑产技术迭代进化的速度令人咋舌，但是不少甲方却对黑产的研究和认知依旧停留在早些年的初级阶段。黑产发展迅速，而甲方对黑产的了解却停滞不前，必然造成在攻防过程中的信息不对成，防御难度加大，防守响应滞后，效率和效果大打折扣。

举个例子，对于黑产而言，”秒拨“早已不是一个新词，秒拨IP资源早已成为当下主流的黑产IP资源，可是，威胁猎人在与多个甲方客户沟通交流的过程中发现，很多在甲方做业务安全的同学对秒拨的概念一知半解，甚至完全不了解。

这个现象值得反思，秒拨在2014年前后已经是成熟的IP资源解决方案，到现在2019年，被广泛用于批量注册、投票、刷量等短时间内需要大量IP资源的风险场景，并且由于秒拨IP难以识别的特性，对当前互联网业务安全场景已造成巨大危害，但是很多安全行业的同学居然觉得这个东西很新鲜。

不论是在IP这个对抗点，还是在手机号、设备指纹、风险流量和行为等其他对抗点上，传统的【先被攻击】，然后【事后发现】，最后【补充规则】的被动式的对抗方式已经完全无法适应当前与黑产的攻防节奏，研究黑产、了解黑产、掌握黑产的最新技术和动向，才能把控更多主动权。

想打赢业务安全的战争，必须由”亡羊补牢“式的攻防形态向”未雨绸缪“式的攻防形态转型。

下文梳理了黑产IP资源的进化史，并着重阐述了威胁猎人对秒拨技术和资源相关研究。

秒拨的前世今生

自从甲方开始在IP层面根据一些简单的规则（如设定单位时间内IP的访问次数阈值、限制触发特定行为的IP等）做风控起，就正式向黑产在IP战场上宣战。

早期黑产主要是通过代理IP的方式绕过甲方的风控规则，售卖代理IP的网站便如雨后春笋般涌现。这些网站收集代理IP的方式主要利用高性能的服务器对全网进行扫描，扫描开放代理服务的服务器，或者是直接爬取其他代理网站的数据，收录有效代理IP和端口，以免费或者付费的形式交付给用户。此方式最大的弊端是代理IP的有效性和数量无法把控，代理网站无法把控，用户更无法把控，这就非常影响黑产做自动化攻击的效率。也有黑产利用VPN绕过甲方风控，VPN相对稳定，但是成本更高且有效IP数量有限，并不适用于黑产大规模批量化的攻击。

全网的代理IP数量相对有限，且早期代理服务一般都架设在数据中心的服务器上，不少甲方慢慢开始积累代理IP池，进一步打压了黑产使用代理IP的效果。

------------------------------------分割线--------------------------------------
不少做业务安全的同学对黑产IP资源的认知就停留在了此处。
------------------------------------分割线--------------------------------------

然而不甘心的黑产开始做资源升级，研发出秒拨的技术。

通俗的讲，秒拨的底层思路就是利用国内家用宽带拨号上网（PPPoE）的原理，每一次断线重连就会获取一个新的IP。与时俱进的黑产掌握大量宽带线路资源，利用虚拟化和云计算的技术整体打包成了云服务，并利用ROS(软路由)对虚拟主机以及宽带资源做统一调配和管理。这种云服务交付给黑产用户其实就是云主机（俗称”秒拨机“），黑产用户可安装Windows或Linux系统，通过RDP、VNC或者SSH连接，部署自动断线重连切换IP以及攻击的工具后，便可发起攻击。

秒拨机web管理页面截图：

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！