如何科学合理薅FreeBuf活动“羊毛” - FreeBuf互联网安全新媒体平台 | 关注黑客与极客
如何科学合理薅FreeBuf活动“羊毛”
共149465人围观
，发现 11 个不明物体
过年前FreeBuf推出一个叫“”的活动，刚开始以为是一个养蛙类型的活动，研究过后发现，这是一个上传数据拿奖品的活动，看着礼品还挺诱人的，作为薅羊毛专业户，我必须吐槽一把了……
看看奖品还有点小心动：
这个活动主要就是上传三种类型的样本：暗链、恶意URL、WebsShell通信样本，系统对样本进行判定并给予一定的分值积分，积分还可以用来抽奖。
从规则中规定的三种提交样本得分来看，提交暗链样本能获得分数是最高的。那当然要从回报最高的下手了！哈哈，自行构造大量的样本刷分不就薅羊毛了。
暗链是一种被广泛利用的网站攻击方式。通常，黑客们利用重定向机制快速跳转等多种方式，将链接颜色与背景色设置相同，使用低像素文字等手段达到链接隐藏的目的，把含有色情、诈骗等内容通过暗链植入被攻击网站的网页。被植入暗链的网页不仅对于网站本身的信誉形象产生负面影响，更严重扰乱了搜索引擎排名机制，同时也会给网站造成额外的性能开销与负担。
然而当进入提交页面测试后发现，这个活动的系统会对提交的暗链会先进行真实性和规则格式的审核，貌似一定条件下的暗链样本数据才能通过并给予判定得分，而批量构造的暗链是很难通过的。目测这样的设计应该是为了限制刷分。
很多人说暗链样本难找，我提交的暗链数量也有20多个，在此分享下我找暗链的方法。我认为很多人找不到暗链的原因主要是两方面，第一是信息搜索途径不对，第二就是对暗链理解有偏差。
先说说搜索途径，我所收集暗链样本数据是通过各安全论坛和谷歌获取到的，特别是一些安全论坛社区的样本提交或恶意网站交流板块，多关注说不定就能搜集到了。
暗链大多是一些淫秽色情和博彩的链接内容，政府网站被植入较多，可以直接通过搜索引擎搜一下，然后看看这些网站的源码中是否有隐藏的代码，但如何准确找出暗链核心代码，也是个技术活，这就是接下来要说的。
暗链技术实现解析
只有深入了解才能准确辨别找到是否暗链样本，只有正确找到暗链核心代码提交才能保证样本正确。下面我就罗列几个暗链实现方式。
1、 通过更改颜色实现隐藏
拿我找到的实际样本为例。这是一个政府类网站(某市教育信息网)被植入博彩类暗链，被植入暗链代码如图所示。
从代码中可看出是通过将color设置为#FAFAFA”达到页面隐藏效果，网页在浏览器中显示如下。这种方式属于比较低级的，反选后即可看到隐藏内容。
2、&利用display:none隐藏。
下面是我找到的南京某公司电子商务平台被植入大量淫秽暗链的代码，暗链是通过display:none达到隐藏目的。
3、 将position位置属性设置成负数，则链接无法显示在可见页面之内
下图是我找到的真实样本，也是某个政府类网站被植入了博彩相关暗链。
还有一些其他的暗链植入方式，比如跑马灯方式隐藏、通过遮盖层隐藏等高级方式。比较惭愧这类样本没有找到。特别是后期，暗链样本提交多了，系统的识别能力提高，再提交这些简单的暗链样本后，智力分很低了。要是能找到比较新奇的暗链构造网页比如提到的跑马灯之类肯定又能那高分了。这类样本难遇到了，又不能真的去黑一个网站做植入。
再说说其他两个类型样本，webshell的样本构造起来很麻烦需要录制流量包做真实攻击，像我这样懒人觉得太麻烦，并且样本得分竟然不是很高？得吐槽下，可能是主办方为了防止刷分数吧。
恶意URL的提交还是很方便的，网上可找到的现成资源也很多，提交的人也很多，我猜目前大部分提交的样本都是这一类的。刚开始我也提交了很多恶意URL样本，的确靠这个得了很多分，但后期要是还提交从网上找的样本就不行了，智力分越来越低，或者被告知样本重复。看来这个机器人确实智判断能力在提高，不能轻易糊弄它了。
样本对抗研究
在提交数据的时候，我也很好奇这个智能机器人的识别模型原理，耐不住手痒，自然是要研究一番的。
我尝试对这个智能识别模型做攻击，类似于样本对抗的方式对模型做欺骗。在已有样本上我通过修改参数内容，改变代码格式，做代码混淆处理等方式生成新的恶意URL样本，然后提交。开始阶段这种方式提交的样本能够正常获得体力值，智力值得分也很高，也就是说这个方法是有效的。但这样做了两天后我就发现，经过这样处理的样本智力分非常低，或者被提示样本重复。应该是识别模型被优化了或是真的学习到了攻击模式。
本打算再做些深入的样本对抗测试，但测试几个发现这个样本提交活动最前端应该有一个基于规则等传统的样本鉴别引擎，只有被鉴别为符合要求的样本才会导入之后的机器人中，所以这种模式下，对抗样本根本无法通过。从这几个维度看，这个活动设计上确实能很好的防止作弊、样本对抗等行为，但这样是不是也限制了能收集到的样本多样性呢？
不管使用什么方法吧，收集大量样本，然后一顿提交就好，有技术基础的就自己构造些新样本试试运气。反正只要提交的合格样本多，分数会慢慢提上去来的。不过要是一心为了iPhone X，就要动动脑筋了。
积分拿到手了，到抽奖环节了，我去，我除了第一次抽，中了件T桖之后，后面7次，全是谢谢惠顾……难道是我人品太差？不过还好第二天我人品爆发？抽中了3个。
这里讲一点我的发现，似乎每天上午的时候抽奖成功率高，不得不让我怀疑这个抽奖功能是不是每天指定抽走多少，抽完了，后面都是谢谢惠顾？如果是这样，也太落后了吧。
三种功能研究下来之后其实越后面越难找，从薅羊毛的角度来说，和其他金融公司相比浪费的时间太多，不过找样本的过程其实还蛮好玩的，同时我发现了窍门，提高分数应该这几点就够了，第一点就是尽量提交样本分布类型少的。第二点，要多提交复杂不易被识别的样本才行。
给官方的建议
撇开薅羊毛，我觉得主办方的思路有问题，这种活动对于技术研究人员其实更想要的是技术反馈，比如我提供一个数据同时能给我一个数据也还给我，这样对于我的价值就比较大，或者可以我提供一段时间后，汇总给我一个报告之类的。
希望官方可以多站在我们用户角度上面多去想想我们真正的需求，这些奖品就能打动我？虽然奖品这种东西你硬要送给我，我还是会勉强考虑考虑的。
*本文作者：斗笠君999，转载请注明来自FreeBuf.COM
我以为刷恶意url能拿第一名，结果是0分，不知道是格式问题还是识别的有问题，默默心疼自己花时间上传的3万多条数据
必须您当前尚未登录。
必须（保密）
这家伙太懒，还未填写个人描述！
关注我们 分享每日精选文章来自Minecraft Wiki
羊毛（Wool）是一种从身上获取的方块，可被染成白色、橙色、品红色、淡蓝色、黄色、黄绿色、粉红色、灰色、淡灰色、青色、紫色、蓝色、棕色、绿色、红色和黑色16种不同的。
羊毛可用任何工具破坏，但是用剪刀才是最快的。
在成年羊身上使用剪刀会获得1-3个羊毛。如果羊在死亡时没有被剪毛，则会掉落1个羊毛。掉落的羊毛的颜色与羊的颜色相同。羊毛的掉落几率不会受时运和抢夺的影响。
白色、淡灰色、灰色、黑色、棕色以及粉红色羊毛可以在相应的羊身上自然地找到。而剩余的颜色则需要对羊染色才能得到。
自然生成的羊毛，羊毛上有火把。
黑色羊毛在作为位于3个栅栏柱上方，被4个火把环绕的像街灯类的结构生成。多种羊毛作为结构自然生成在。
牧羊人以1至2个绿宝石的价格交换1个羊毛出售每种颜色的羊毛作为它们第二层交易之一。
 +对应的
羊毛方块是薄弱的、高度可燃的、低爆炸抗性的方块。它们的主要用途是装饰。
牧羊人村民会以1个绿宝石的价格收购16-22个白色羊毛作为它们的第一层交易。
使用任何颜色的羊毛或木头合成画不会对合成出来的物品的外貌造成影响。
对应的 +
对应的 +任何
羊毛的颜色必须对应，木板的类型则不必。
 +任何
羊毛能用作的燃料，每个羊毛可以烧炼0.5个物品。
品红色羊毛
淡蓝色羊毛
黄绿色羊毛
粉红色羊毛
淡灰色羊毛
羊毛每个像素的颜色几乎都是不同的，这里是默认材质包内平均的RGB颜色数值。
 colorwhite
silver 这里silver指的是light gray
游戏内描述
实际需求（若异）版本限制
奖杯（PS）
收集彩虹收集全部 16 种颜色的羊毛。所有不同颜色的羊毛不一定都要在物品栏里，但它们必须被玩家捡起过一次。Xbox One是是是30G银杯Xbox 360另20G
布料被加入到游戏中，有16种不同颜色，便于制作地毯、美化建筑或设计像素画。
加入了会掉落红色布料的。
羊现在会掉落白色布料而不是红色布料。
布料现在可用于合成。
羊现在可以再生布料了。
现在须用皮革制成而非布料。
羊现在在受到伤害时由固定掉落2个布料改成随机掉落1-3个布料。
更改了布料颜色色调。
布料改名为羊毛。
加入了15种。可通过对羊使用染料来给羊染色。
淡灰色、灰色以及黑色的羊现在会少量生成，并掉落相应颜色的羊毛。
羊毛现在可用于合成。
深灰色和粉红色的羊现在会少量生成，并掉落相应颜色的羊毛。
更改了羊毛的合成配方，现在羊毛由9根改为4根线即可制成。
加入了来给羊剪毛而不需要伤害它们，使用剪刀给羊剪毛会掉落2-4个羊毛。
羊受到攻击时不再掉落羊毛，如果在没剪毛前死亡则会掉落一块羊毛。
村庄里现在会生成含有黑色羊毛的灯柱了。
羊现在会吃和来长出羊毛，毛色和被剪前保持一致。
出于平衡考虑，用剪刀得到的羊毛由2-4个改为1-3个。
饱和度稍作调整，现在毛色整体比以前要暗一些。
54个橙色羊毛和1个蓝色羊毛现在会自然出现在内。
羊毛现在可用于合成。
村民现在可以交易任意颜色的羊毛了。
沙漠神殿里的羊毛现在被染色硬化粘土代替了。
羊毛现在可以用于合成了。
羊毛现在能用作熔炉的燃料。
各种颜色的羊毛现在会生成在里。
羊毛现在被称为“白色羊毛”而不是“羊毛”。
微调了羊毛着色的变化预览，并补充说明“材质本身可能需要工作。”
Jeb推出了另一个与混凝土的对比截图表示他还将进一步改变羊毛的颜色，“着色需要一些调整”他补充说。
第二次更改了颜色色调，导致所有羊毛和与羊毛有关的物品都有了新的配色材质。
羊毛被加入到游戏中，它有16种不同颜色，但并非每种都能得到。
可以剪羊毛了。
羊毛可以被合成了。
羊毛现在可用来合成。
羊毛现在可用来合成了。
红色羊毛可用来合成红色地毯。
黑色羊毛会自然生成在里。
剩下不能合成的其它颜色地毯现在可使用羊毛进行合成。
羊毛现在有了平滑的光照。
Jeb推出新材质的羊毛和的图片时也提及了他们开发携带版1.1的工作进展。
羊毛的配色材质更改了，这同时还会影响到其他和羊毛有关的物品。
添加了16种颜色的床，所以现在合成床时，必须用同一种颜色的羊毛合成。
羊毛被加入到游戏中，它有16种颜色。
现在羊可以吃草或草丛来长出羊毛。
有关于“羊毛”的漏洞由维护。请在那里汇报漏洞。
羊毛的损害值和其颜料是对立的。这也同样适用于、和。
白色羊毛可以与骨粉混合，但这是对骨粉的浪费。
在主机版的教程世界中，在空中的Minecraft标志是由石砖和黑色羊毛组成的。
羊毛在游戏代码中的名称为cloth（布料）。
：隐藏分类：
Promotional Content科学世界大揭秘 羊毛好坏的评判标准
科学世界大揭秘 羊毛好坏的评判标准
作者:科学世界
（图：中国白绒山羊）
& & 今年是我国传统的羊年（农历乙未年）。说到羊这种，我们都不陌生。不过，如果从起源、进化和基因的角度来看的话，关于羊的知识可能会让你耳目一新。
& & 对人类来说，羊是一种很重要的家畜，比如羊和羊皮，在我国古代贸易中就有着重要的地位。春秋时代秦国的著名宰相百里奚，从前就是用5张羊皮换回来的。西汉时期，贤人卜式在养羊致富后，愿捐出一半家财，支援对匈奴的征伐。类似的记载还有很多，都说明&羊&还是比较贵重的。
& & 从结构上看，汉字的&羊&字其实是个象形字，它高度概括了羊的形状：一&点&一&撇&是它的两只大角，&王&是它绒的身子，垂下来的&|&则是它的那条大尾巴。
：细才是好东西
& & 俗话说 &羊毛出在羊身上&，这些羊毛可以被捻成毛线，织成毛衣。那么，羊毛和有什么区别，又分别来自于什么羊呢？
& &&在野羊身上有两种类型的毛，一种是粗毛，直径一般在60微米以上，和人类头发的粗细差不多；另一种是绒毛，贴着皮肤生长，直径一般在20微米以下。绒毛专门用于冬季保暖，所以每年入春后，羊身上的绒毛就会脱落下来，新的绒毛会在夏末重新生长出来。
& &&为了获得更多的羊毛产品，我们的祖先对某些家养绵羊品种进行了长期选育，形成了新品种的绵羊。它所产的毛已经不再区分粗毛和绒毛，其粗细介于二者之间。而且，它还不会在春天脱落，而是像人类的头发一样，一直保持生长。这么一来，不仅羊毛的均匀度很好，而且产量也大大提高了。最有代表性的品种，就是英国的长毛种绵羊（如林肯羊和边区莱斯特羊）。
& &&随着纺织技术和人们生活水平的提高，用更细的羊毛可以纺织成质量更好的面料，于是提高羊毛的细度和产量就成为了育种的主要目标。在16～17世纪，西班牙得到了美利奴羊，它是一种能够提供20微米直径细毛的绵羊品种。当时，西班牙严禁美利奴羊输出，违者会被处以死刑。这使得它一直到18世纪以后才被传播到世界其他国家。
& &&在现在的各个细毛羊品种中，其实都含有美利奴羊的血统。随后，澳大利亚通过一百多年时间对美利奴羊进行了持续改良，获得了密度更高、细度更均匀的澳洲美利奴品种，随后立法严禁该羊种质资源出口，而从它身上获得的&澳毛&，更是享誉世界。有趣的是，最有名的美利奴羊却还不是它们，而是一只被叫做&史莱克&的新西兰绵羊。它为了逃避剪毛，独自在农场附近的山洞中躲了7年，被人们发现时，身上的羊毛已经有27千克重了。
& &&羊绒是山羊在每年春季脱落的绒毛，细度一般在16微米以下，比美利奴羊毛更细，而且表面鳞片边缘更薄，所以质感更光滑。但是，它的产量要远低于经过长期选育的细毛羊，平均每只羊的产绒量只有几百克，所以价格昂贵，俗称&软黄金&。因为亚洲的克什米尔地区曾是向欧洲出口羊绒的集散地，所以在西方语言中，往往直称羊绒为&克什米尔&。
& &&现如今，70%以上的羊绒是由我国的白绒山羊生产的，而白绒山羊也是我国唯一严禁出口的家畜。但是，由于杂交和盲目追求产量，其细度由上世纪80年代初的13微米增加到目前的16微米，羊绒的价格则相应降到当年的约1/10。毛囊的发育生长，是由多个基因控制的复杂数量性状遗传所决定的，因此要找到控制羊毛和羊绒细度的基因是非常困难的。我们最近完整解析了山羊的基因组，成果发表在了《自然&生物技术》杂志。在此基础上，我国科学家正在利用山羊基因组和新一代的基因育种技术进行研究，努力将白绒山羊的羊绒细度恢复到14微米以下。
& &&在过去的一千年中，羊毛和棉花曾经分别是西方和东方的主要衣料来源。随着近代化纤工业的兴起和棉花机械化种植的发展，价格相对昂贵的羊毛所占的全球衣料的市场份额，已经逐步从30%左右下降到现在的不足1.5%；至于羊绒面料的份额，更是仅维持在市场份额万分之二的程度。市场份额下降并不一定意味着衰亡，在某种程度上反而反映了它的稀缺程度。事实上，高品质的羊绒和羊毛产品也一直是衣料中的奢侈品，所以这也可能是未来绒毛羊培育和产业化的一个重要机会。
（本文摘自&科学世界&2015年第三期）
扫码手机观看
很喜欢从上往下钩的衣服，大小长短都好控制，所以又钩了这件公主风的连衣裙，只要喜欢...
娃娃领长袖连衣裙，改版安然。原版是无袖的，我改成了长袖，底边双层改成了单层，领子...
为了减少断线，胸部以上采用一线连方法一体钩出领和肩，回到胸口开始向下圈钩镂空花型...
人到中年，少了多愁善感，多了几分淡定与从容，愿晚秋中的你，收获喜悦，抛却烦恼，欣...
看到完美叶子家的和领花背心裙立马长草，可惜是棒针菜鸟，只会上下针，加减针都没研究...
去年钩了条修身边衣裙，感觉不是很理想，今年毅然拆掉，温水泡过，线线又变直了，重新...
给丫丫钩的小裙子，希望丫丫慢慢长，我慢慢钩，慢慢打扮我的小公主！ 宝宝竹棉线。深...
儿童毛衣视频收录一款经典实用的钩针宝宝背心裙的织法，上半身钩针、裙摆平针织的钩织...
很多时候 我喜欢的不只是编织 喜欢的更是玩编织时那个专注的自己 在编织的慢节奏中...
大红色，真丝小马海，花型舒展，不会缩， 钩好，烫好，就是这么美！0" class="comments">
1" class="page-container">
0" class="modal-wrapper">
1" class="page-container">
天猫淘宝热门排行
价格网（北京爱乐买信息技术有限公司）「网址:good.cc」，是一个帮您在京东、淘宝、亚马逊、易迅、苏宁等网上商城购物时，选择优质商品，提供优惠促销信息的网站。
网上购物前先看价格网，不仅能得到相对最低的价格信息，还能了解同类产品的评价和比较。
京ICP备北京爱乐买信息技术有限公司.版权所有
友情链接：