剖析一下"抢茅台"脚本底层逻辑

本文作者：梁冬冬

前言： 今天你撸茅台了么👇？ 撸茅台已经成为社会现象🙌，茶余饭后讨论的最佳实践😇

2022年双十一大促已经完美收官，兄弟姐妹克服种种困难与挑战.. 备战的会议室忙碌中带着紧张，当峰值过后的喜悦不言而喻，今年备战室里听着对面的兄弟讲述了他抢茅台的经过，以及对马上来临的整点茅台活动期待，我也立马参与进去，但是....没抢到😭， 带着种种的疑问，百度了下网上抢茅台的种种手段与方法，发现里面的猫腻还真不少，同时作为风险人也想不断的通过各种技术手段识别发现风险，让羊毛党无处躲藏；也许，竞争对手比你想象中要更加的强大， 今天就带你走近抢茅台的脚本，领略下TA们有趣的灵魂；

下面的列表是我总结网络上普遍存在的一些抢购的方式，这些方式的共性是：模拟单人或多人的操作行为，在最短的时间内完成抢购流程；

一、webUI脚本解析:

下面是一段网络上比较常见的某宝的一种抢茅台的脚本，底层逻辑是： 模拟人点击操作路径，通过脚本重放，循环实现定时、自动化、多并发等操作，最终实现代码替代人工操作抢走商品；





二、后端接口脚本解析

下面的代码是之前GitHub很火的抢购京东飞天茅台jd_seckill脚本，一度被很多人使用（现项目已经停止），底层逻辑：绕过前端UI，整体流程通过协议接口层串联，可以通过自定义控制抢购的速度，最终实现代码替代人工操作抢走商品；





三、APPUI脚本 以及 adb命令方式 解析

APPUI脚本方式 底层逻辑是：通过手机端（安卓、IOS或模拟器等）通过UI自动化工具或adb命令的方式控制app以及webview来模拟人操作，实施抢购的过程;





appUI脚本攻击方式，是通过工具化的手段，例如Uiauto.js、uiautomator、appium等等，实现的手机控制app（内置的webviewH5需要结合webdriver）实现模拟人为操作，实施抢购；





四、风险防守、识别篇:

再高明的攻击手段，在智能风控面前下，都会毕露无遗，风险侧通过关联黑名单、设备指纹、生物探针、风险标签（群控、设备聚集性、陀螺仪、云手机等等）可以识别出来人的操作轨迹，按压行为等等，可快速识别风险，锁定风险，消除风险；（注：由于机密性比较强，此处不做过多详细说明😃）