灌水攻击回顾分析

本次灌水清理一共删除 1313003条垃圾数据,数据一共来自 2945个垃圾账号,其中主要包含三类,第一类 账号 一共1950个,用户名全部由长度为12的英文字符构成,每个用户名,只发一贴,然后换用户名,是这次攻击的主力军,全部的130w数据中,100w多垃圾帖由该类账号发出,该类账号共发帖1321959,其中有110w在本次清理中清除。用户名特征如下

htizroxrpyyr    1
vofzujqovnup    1
hvcaygscmrzo    1
bamplkltkjck    1
obsuukxdugli    1
lwelbcflixvk    1
mvujvixbwjoy    1
rpvxvphhjvzd    1

第二类账号共980个 单个账号发帖量在2-1600不等,几乎全部是163结尾的邮箱,少量账号以mailnesia.com结束,共发帖107131个,其中删除92162个

eyi1988910@163.com 5                                            
ubo77920@163.com  5
uangqihah@163.com  5
ylujinli@163.com   5
ushijiecf1739@mailnesia.com    95
shenziyinxc275@mailnesia.com    95
shentingfangvy97@mailnesia.com  95

第三类不多,只有十几个,其中可能存在一些被误删的用户,建议仔细排查发帖量为1或者2的用户,很可能是被误删的,全量用户名列表如下

lgwwwk@mailnesia.com	1
crdbkhnet99731	1
hdndh468	1
nzjpr408	1
dvtrz888	1
oouci040	1
frpdx066	1
vbjlp468	1
hdoryynwg79333	1
abwnn	1
www52088    2
dsgfds3443  2
fgjgfhdfg   2
jfgyhr  3

第一类 用户 从内容上分析,所有的内容中都提到了一个上海的号码178-0216-9238,都有连接,连接的内容也是同类账号发出来的相似信息,该类用户在每次发帖之后,就更新用户名,其发帖内容 如下

【178-0216-9238】莎莎 锦 州 凌 河 区 铁 新 小 姐 哪 里 找 【178-0216-9238】小莉

http://club.baby.sina.com.cn/thread-9472739-1-1.html

咸 丰 县 找 少 妇 过 夜【178—0218—3170】思思【178—0218—3170】█ 欢 迎 光 临 █全 天 服 务

http://club.baby.sina.com.cn/thread-9473599-1-1.html

从单个账号发帖量来说,从几贴几十帖 到1342不等,成线性增加,危害极深,I have to say.
从发帖ip上来看,全部共55个ip,下面是发帖量在100以上的ip

106.46.242.147  109  
122.232.41.223  274  
43.240.57.86    379  
111.183.163.22  862  
113.27.20.210   901  
43.240.57.90    925  
106.46.243.46   1177 
106.46.242.133  2013 
171.83.82.246   2146 
123.151.191.19  3580 
43.240.57.95    3994 
125.39.18.99    5726 
60.220.213.153  6035 
221.233.217.14  9625 
60.223.221.21   20226
112.90.236.50   154850
125.39.18.103   375653
43.240.57.91    733533

从注册ip上来看,1943个没有注册ip,其他ip如下

125.39.18.99    1    
60.223.221.21   1
61.136.153.198  1
58.53.99.150    1    
112.90.236.50   1
43.240.57.91    2    
124.228.28.195  3

从注册时间上来看,

  1. 7月5号,开始于 00:27:18 00:42:13,注册了三个账号,20:50:35重新开始,结束于 23:51:27,共注册账56个,
  2. 7月6号,开始于00:03:50,结束于04:32:23,共注册账号979个
  3. 7月7号,开始于01:41:06,结束于07:06:40,共注册账号917个
对第二类用户分析,先从注册ip入手,这个是他们注册的时候使用的ip,171.113.191.104 占一半以上
111.179.41.115	1
61.184.226.162	1
222.209.250.86	1
171.40.68.99	1
60.14.239.210	1
202.114.224.27	1
117.9.248.195	1
61.136.153.198	1
111.180.105.118	2
60.172.246.104	4
122.13.141.82	10
113.98.76.109	11
171.83.82.246	13
113.57.244.58	18
113.57.191.44	26
113.57.182.75	29
113.57.191.76	32
60.172.229.142	48
183.10.119.133	112
59.172.196.28	149
171.113.191.104	513

这是第二类用户的注册时间,

  1. 7月5号,开始于2015-07-05 22:15:35,于2015-07-05 23:59:53结束,共注册71个账号
  2. 7月6号,开始于2015-07-06 00:00:04,于2015-07-06 07:47:49结束,共注册896个账号
  3. 7月7号,共注册四个账号,详情如下
2015-07-07 00:43:18
2015-07-07 01:26:43
2015-07-07 02:00:16
2015-07-07 07:55:12

从内容上分析,格式上和第一类差不多,链接的彼此指向,都有电话号码,不同的是这里每一个都有一个“雷少专用”,内容也不局限于色情,最后的正文内容是乱码,

安丘 全 套 小 姐【185x1897x5015】莎莎【185x1897x5015】█   █

雷少专用</pre>

http://club.baby.sina.com.cn/thread-8476974-1-1.html

<pre>
俚倏僮苑氏誓逼焦帐沦诳切炊糖关丫鞠值闷白冉滴洗寂灾良偻瞥衬苏负兴奖章掠诠鞘窗塘挂迅旧众美跋鹊灯妥航椅看着闹奔赏冻文徽踊浪乇锹涤凸菏野苛滓母鄙哨独窝环尤蕾乜判捕是分霞纪猿聊僬苹乘吮嘎杏焦帐掳诹且锤躺冠牙
哪里有开广州发票--电:【1339.2447.312】张经理Q;210,9469,091-哪里有开广州发票-电:【1339.2447.312】张经理Q;210,9469,091先生帮您开

雷少专用

绦帕痴徽绷岸赂沃患油莱啬旁埠怂岗欣窖辗氯谫强葱潭骨沿揪窒玫捌茸到臀捍遗恐准耐背赡冈泻剿毡侣谟枪词贪沽研径智秘熬认档推鹤医课状呐敝杉锻纬荒釉篮厮疟猜视饭鲜及粤烈俑壬第屠貉曳咳鬃慕蔽纱杜沃患油莱啬耪埠仕繁

Leave a comment

Your email address will not be published.

*