约会软件当真美女如云？带你渗透一波，一探究竟

时间：2020-03-14 02:56:06 来源：作者：网络

原标题：约会软件当真美女如云？带你渗透一波，一探究竟

背景上周，收到表弟的电话求助，“哥，我失恋了”。我一脸黑人问号："咋回事，你又没有女朋友，哪儿来的失恋？"。弟：“说起来怪不好意思的，是网恋。。。” 我：“得，大概猜到了，你说吧。” 弟：“我这不还没女朋友嘛，就想来场网恋，于是找了个交友APP看看能不能在里边遇到合适的” 我：“得，你这是动机不纯，你要的不仅仅是网恋，更多的是想要其它吧？” 弟：“男人嘛，你懂的。。。” 我：“你一定是去下载那些名字都很暧昧的交友应用了吧，而且里边都是美女，感觉平时你遇不到的美女都跑到那里去了吧” 弟：“你怎么知道？难道哥也是老司机，快带带我，美女那是一个多，可是没有撩到的” 我：“滚！这交友应用里的东西你能相信？你还真的很纯很天真啊。来，跟你讲讲这里边的门道。”

在表弟的哀求下，在安卓的手机应用商店里排名比较靠前的交友软件中找到了这款APP。这款APP不仅下载量高，而且还有照片供参考。于是，当即下载安装这款APP，简单注册、登录了进去。

进去之后，随便看了看，发现附近居然有这么多美女？不到一会儿，就有不少“美女”主动打招呼了。有的说每天晚上我都很寂寞，或者我刚失恋，需要人安慰之类的挑逗性语音。直觉告诉我，这些“美女”没有那么简单，我决定渗透一波后台一探究竟。

在该软件的设置中心 -> 问题反馈处插入xsspayload：

很快就可以接收到一些 cookie 信息，但是点开之后发现少了 JSESSIONID，无法直接登录到后台。应该是开启了http-only（对cookie做的扩展，主要是解决用户的cookie可能被盗用的问题）。

遇到这种情况一般选择绕过 http-only 或者构造一个简易的钓鱼网站，让受害者去输入账号和密码。这里我选择了后者。

首先构造一个和登录界面一样的页面，将源码的 js、css 下载放在本地。然后将登录处的代码的 action 改成当前目录下的 get_data.php 文件用来接收账号和密码。

最后的效果是这样的，输出一个登录超时，让管理员二次输入密码，注入完了密码之后，再重新跳转回原来正常的登录页面。

接着就只要构造 xss payload就行了。将 xss payload 插入反馈的页面，之后等待管理员登录时输入即可。

经过漫长的等待，到第二天早上接近10点的时候，应该是客服上班了，发现已经有人访问了我的链接，但是他过了几分钟也没有点击登录进来，应该是起疑心了？

没过多久，我发现有另外一个 IP 访问了我的服务器，而且还输入了密码（怀疑这里是客服人员发现登录异常的时候询问了管理员，管理员一顿操作猛如虎直接看也不看就输入密码登录上了！！）赶紧看看日志：

果然，就是管理员的账号！

拿到账号密码登录后，看了一下菜单的功能还挺多的。

先去看一下意见反馈吧，果然不出所料，肯定是一堆“美女”机器人。名副其实地坑骗广大男同胞啊！

查询平台的机器人账户数量，整个平台起码有90%以上的“美女”机器人！

后台还可以看见某个正在同时跟多名同胞聊天调情的“美女”机器人。。。

把“探案”的截图发给表弟看，这下他可以彻底死心了。

其实，早在去年，就有警方查处并宣布关闭了多款利用机器人程序欺骗用户付费的交友 APP。这些交友 APP 以交友、求偶为幌子，吸引男性用户安装注册，之后以引诱用户充值会员可享有 “特权” 的手法实施诈骗，涉及的 APP 有 “某城求偶”“某派交友”“某会么”“某约爱”“某城密撩”“某缘” 等。相关网络诈骗犯罪团伙均为公司化运作，分布在全国各地，公司规模都在数十人以上，有的甚至超过数百人，每月资金流水为数十万至数千万不等，涉案总金额超过 10 亿元，每天约有十万人受骗。

“这 APP 注册虽然是免费的，但是如果要和里面的‘美女’聊天，用户必须先交 200 元的 VIP 会费，但即使交了钱，跟用户聊天的却是机器人，并非头像上的‘美女’。”据警方初步统计，该平台仅管理后台可查的充值金额每日以30万元的速度递增，同时该公司编写的 “美女机器人” 程序一天收益超过 4 万元人民币, 受骗人数已超百万人。

准确的说，她们虽然有一个人的面孔，可是面孔背后，根本没有这个人。因为，这些“美女”只是约会软件平台做的假号，用于给平台创造欣欣向荣的气氛，和微博的僵尸粉、知乎的三无小号差不多。

人工智慧造脸假造美女影像

采用 AI 生成的不同类型的人脸，相当便宜而且想要什么类型都能满足。

目前 AI 的技术，可以轻易制造人脸影像，而且难以辨别真假，不论是开源的软体，例如 Nvidia 的 SytleGAN，还是兜售技术的新创公司，都可以实现提供各式各样的“真人”影像。你可以直接在这些网站上选择，需要何种性别、年龄、肤色、瞳色、发色、头发长度和情感的照片，简直像游戏开始时创建人物的捏脸一样。

交友约会网站基于宣传目的，在机器人账号上放上随机生成的海量“美女”照片不足为奇。

照片可以造假，那亲耳所闻的“美女”语音消息假不了吧？

现在的技术已经完全可以通过算法来生成人的全套语音了，甚至连愤怒、高兴等不同情绪语气都能够做到惟妙惟肖，足以以假乱真，而所需要的材料也仅仅只需要被生成者的几段话。

开发这项技术的是谷歌 2016 年在加拿大蒙特利尔大学建立的人工智能实验室（MILA）。基于声音合成技术，MILA 在 2017 年 4 月份成立了 Lyrebird 公司。Lyrebird 是一种名为琴鸟的鸟类，这种鸟具有一种特殊的天赋，它不仅能模仿多种其他鸟类的声音，它还能模仿几乎一切它听到的声音。