安全专家揭黄牛刷票原理12306站验证码存漏洞
近日，中央电视台栏目暴光了利用12306站的漏洞，借助电子抢票软件非法牟利的消息，立刻引发社会关注。根据调查，12306站在售退票进程中多个环节存在漏洞。
根据报导，上流行着许多抢票软件，其中还包括收费的抢票工具，从几元几十元一个的个人版，到收费上千元每个月的企业版，价格不等功能不一。
昨天联系到猎豹公司相干负责人。对方表示，这些刷屏软件可以避开12306站的购票规则，并且能够轻松绕过其技术限制，大量刷得火车票。
据了解，12306站为避免机器幕后操纵，特地对订票进程设置限制，即两次查票时间间隔不低于5秒，登陆和提交定单时需输入验证码。同时规定，普通用户通过12306每次只能买5张票。
上述负责人表示，通过调查他们发现，这些刷屏软件可以自动寻觅12306站速度最好的服务器，提高刷屏成功的概率，然后利用站验证码漏洞以毫秒速度自动输入验证码，并且可以规避5秒查票时间间隔，没有了这些限制以后，刷屏软件可以比常人手动抢票快上百倍。
利用上述刷票软件，一些通过刷票倒卖火车票的络黄牛在成功绕过验证、自动刷票、毫秒抢票以后提早利用假身份证注册上千个账号，然后批量导入这些账号同时刷票，一次性就可抢到上千张票，乃至一整节车箱的票都能被瞬间抢走。有友直呼，黄牛软件才真正是狂拽吊炸天的抢票神器啊。
通过对12306站的分析，猎豹安全专家发现，12306站对定单提交验证码时校验不严，没有保证进入提交页后获得。该漏洞致使刷票软件可以直接取得验证码图片，查票完成后，直接提交定单，跳过验证码环节。
对此，安全专家建议12306站修改验证码机制，采取人工智能验证码。比如问题是，足球和乒乓球哪一个大?答案是足球。1 3=几，答案是4。用户只需输入足球或4就可以通过验证。这类验证码，机器极难回答，而人工很容易回答。
根据报导，12306站在身份证验证方面并没有与公安机关进行身份证系统的对接，也为络黄牛提供了可乘之机，致使大量车票流入不发之徒手中。安全专家建议12306站与公安机关进行身份证系统的对接，用户注治疗白癜风医院册和购票时，需要提供真实有效的身份证信息。
原标题：安全专家揭黄牛刷票原理：12306站验证码存漏洞
