网站植入抓取代码 窃取手机访客隐私

网站植入抓取代码 窃取手机访客隐私

在爬虫系统后台，可以看到访问者搜索的关键词、手机号码等隐私信息。

记者用手机访问测试网站，他的手机号码立即被系统捕获。

刚打开网页看了几下，我的手机号码就被泄露了。 “黑客”真的能做到这一点吗？ 近日，新京报记者亲自测试了网上销售的“最新抓取技术”，使用四部不同号码的智能手机浏览“被操纵”网站，其中两部手机的号码被成功抓取。

这个测试源于今年6月份的一次经历。 新京报记者使用手机4G网络浏览某教育项目网站后，接到该项目招商人员的电话，但记者并未向他透露手机号码。 面对质疑，招商人员犹豫了一下，声称是从网络服务商处获得的。 无独有偶，记者在网上搜索发现，不少手机用户在浏览网页后接到了相关销售电话，但均未给出电话号码。

网络安全专家告诉记者，由于访问的网站使用了移动访客捕获技术，用户的手机号码可能已被泄露。 这是警方严厉打击的网络黑色产业。

记者搜索发现，多个博客和论坛上都有有关爬行技术的销售帖子。 为了验证该技术的真实性，记者联系了发帖者，并获得了一段抓取代码。 然后他建立了网站并植入了抓取代码。 他用自己和同事的手机号码进行了测试，发现这种抓取技术确实可以在机器上使用。 在所有者不知情的情况下获取手机号码。

点击网页即时抓取手机号码

“2019年最新爬取技术支持测试，如有需要请联系我们。”

这是来自“中国专业IT社区”论坛的消息。 新京报记者联系上出版人赵星（化名）。 他告诉记者，现在很多网站都采用了爬虫技术。 手机点击进去的那一刻，就可以在后台看到它。 手机号码，无需其他操作。

“你可以先测试一下，使用4G网络，关闭WiFi，用手机浏览器访问这个网站。” 看到记者的疑惑，赵星提出先测试一下技术，并向记者发了一个测试网站。

在赵兴的要求下，记者使用手机上的4G网络打开了该网站。 这是一个空白网站，没有任何内容。 一分钟之内，赵星在QQ上逐字报出了记者的手机号码。

记者复制了赵兴的网站代码并发送给从事手机APP开发的李先生。 李先生看完代码后表示，该网站表面上很简单，就是一个空白网页，但它会检测你的接入设备。 如果发现您是通过手机访问，网站就会跳转，从其他网站下载代码，并获取访问者的信息。 普通接入用户无法检测到手机号码等隐私信息。

访客手机号码每个售价1元

这些网上销售的抓取技术文章收费需要一次性充值1000元起。 每抓取一个手机号码，都会扣除相应的单价。 销售抓取技术的周伟（化名）告诉记者，抓取自己网站访问者手机号的价格是1元一个，也有抓取别人网站访问者手机号的技术。网站5元一个。

“如果爬取别人的网站，只能爬取‘http’开头的普通网页访问者，而不能爬取‘https’开头的网页，因为加密传输无法被捕获。除了网页之外，移动应用还可以爬行，技术是一样的”，周伟说。

对于爬取别人网站的访问者，赵星表示比较麻烦。 “爬取别人的网站，需要对爬取系统进行建模，需要7个工作日才能出数据，每件收费7元，充值至少需要1000件，不支持测试。”

赵兴表示，访客抓捕有一定的成功率。 一个1000流量的网站大约可以抓取150-200个手机号码。 比如手机连接了WiFi，有宽带线路，就无法捕获。 除了手机号码之外，爬虫系统后台还可以看到关键词来源、登陆页面、手机系统、IP、访问次数等访客信息。

实际测试中，四部手机中有两部的号码被捕获

为了捕获网站访问者的手机号码，需要在网站上安装一组代码。

为了验证赵兴等人的说法，7月1日，新京报记者租用服务器空间、注册域名、搭建网站进行测试。 随后，赵星给了记者一个抓取码。 记者将这段代码植入网页并上传至测试网站。

记者使用连接WiFi的电脑和手机访问测试网站，但爬虫系统后端没有任何反应。 使用4G手机网络访问测试网站时，赵星立即上报了抓获的手机号码，并在后台发送了抓获号码的截图，与记者当时使用的手机号码一致。

随后，记者使用4部手机分别进行测试。 两个手机号码被截获，另外两个没有。

赵兴表示，为了避免打击，抓拍系统后台不会直接显示手机号码。 相反，有一列 5 位“设备 ID”和一列 5 位“数字”。 赵兴告诉记者，将“设备ID”与“号码”连接起来，前面加一个“1”，就是11个电话号码。

在后台截图中，记者看到，系统还可以显示访客的手机操作系统、访客来源、用户IP和访问时间。

卖家表示，房地产、教育和医疗行业是最容易被爬行的行业。

赵兴表示，从他这里购买爬虫系统的客户主要来自房地产销售行业，另外还有十几家教育培训行业的客户。

从兆兴客户抓拍系统后台，记者清晰地看到了用户操作的敏感信息。 有人搜索“五年制大学”，进入南京某民办学校招生网站，手机号被抓获； 还有人搜索“房价走势新闻”，进入嘉兴某房产销售网站，手机号码被抓获； 还有人搜索“亲子早教”，进入一家美国知名品牌的早教网站，手机号码被抓获。

除了房地产销售、教育培训等行业，周伟告诉记者，“最多的客户是医疗行业，抓取业务是从医疗行业客户开始的。”

赵兴提醒客户，抓取技术会受到网警的严厉打击，应低调使用。 “不卖数据，自己看自己网站的访客数据，刮下来之后，每半天打一次电话。”

■ 案例

网站向专科医院出售刮码 涉案33人

据新京报此前报道，2017年，北京海淀警方查获非法获取公民信息的网站26家，涉嫌侵犯公民个人信息罪抓获33人。

海淀分局网安大队民警调查发现，存在非法网站向部分“专科医院”、“美容医疗机构”网站出售爬虫代码。 警方表示，这些代码只在这个网站上出售，是别人写的。 编写代码的人负责产生和收取使用费； 本网站负责出售代码并向使用代码的网站收取使用费； 用户购买这些代码后，需要根据收到的手机号码数量支付使用费。

警方在15个省份18个地市开展排查，查获26个非法获取公民信息和手机号码等个人信息的网站26个。 梁某等33人因涉嫌侵犯公民个人信息罪被检察院批准逮捕。

据办案民警介绍，用户浏览安装了密码的网站时，手机号码等信息都会被截获。 根据用户搜索的关键词，网站还可以掌握对方的医疗等私密信息，进而精准拨打电话。 卖。

■ 专家意见

家庭WiFi比移动数据相对安全

网络安全专家邵通表示，用户使用手机访问网页时泄露手机号码有以下几种可能：你的手机知道你的本地号码（例如本地号码写在SIM卡中）、流氓网页页面通过浏览器的接口或者漏洞获取。

此外，邵童表示，浏览器中包含与您手机号码绑定的第三方网站账户相关信息，第三方网站将其泄露给流氓网页。 如果您使用数据连接访问互联网，运营商知道手机号码，流氓网页就可以通过运营商的接口获取访问者的手机号码。

邵童提醒，普通用户上网时，建议电脑安装知名杀毒软件，不要浏览来历不明的网站； 手机用户使用知名浏览器，不安装root或需要越狱的来历不明的盗版应用； 另外，在家中使用WiFi。 上网冲浪比使用数据连接相对安全。

新京报记者 陈亦凯