候补购票的列车，当火车票销售一空之后不会自动打开候补购票。当然购票人首先必须通过人证检验，并递交候补票购票订单后售票系统自动决定网上排队候补，当对应的车次、席别因购票、转出等业务产生可可供发售的车票时，系统自动还清车票，并将购票结果通报旅客。12306官方的候补购票功能上线之时就有不少人指出这是第三方抢票软件的大杀器。1月，铁路部门就回应早已对抢票软件展开了容许。

抢票软件的风险央视财经在报导中提及，中国铁路总局之所以采行涉及措施是因为第三方抢票软件不存在安全隐患，个人隐私信息得到确保。新京此前报导，有乘客iTunes了一款抢票软件后，输出时间、车次等购票信息，没有一会儿软件就提醒“抢票顺利”，但该乘客按照提醒将个人信息还包括银行卡和密码都输出进来，打算借钱买票时，忽然接到银行发去的提醒短信，银行卡里的数千元被刷走，联系抢票软件的客服，才找到是空号。

上面是买票不成反骗的案例，然而还有相当大的信息泄漏风险。铁道部在2011年开始试水网络售票服务，并在2011年底还清了网络售票覆盖面积所有车次的允诺。不过自网络售票服务开始，用户信息泄漏仍然都是12306的后遗症。

2014年，报导称有多达13万12306的用户数据在互联网上传播贩卖。不过，12306网站对此称之为，经核查，此泄漏信息全部所含用户的明文密码，12306网站数据库所有用户密码皆为多次加密的非明文切换码，网上泄漏的用户信息系经其他网站或渠道流入。12306还发布公告警告乘客通过12306官方网站购票，不要用于第三方抢票软件购票，或委托第三方网站购票，以避免个人身份信息泄漏。

同时还警告称之为，部分第三方网站研发的抢票神器中，有捆绑式销售保险功能，请求乘客留意。在利益的抗拒下，信息泄漏的问题并没恶化的迹象。2018年12 月 28 日，Freebuf 称之为，“圈内又在传一张疑为12306泄漏数据亮交易的图，春运抢票高峰还到时，黑产分子就早已使出了”。

据信，这份数据还包括 60 万账户信息，详尽到除了ID、手机号、密码之外，连姓名、身份证、邮箱、问题及答案然都有，根据安全性问题很有可能需要必要受理提供其它平台账户的最重要信息。此外，还包括每个账户中加到的联系人信息，牵涉到姓名及身份证号，这些联系人数据总量高达410万。中国铁路微博当日辟谣称之为12306网站并未再次发生用户信息泄漏，同时再度警告用户防止非正常渠道购票带给的风险。在当时的报导中认为，经多方理解，业内人士指出此次的数据泄漏有可能是第三方抢票软件被反击或历史数据的清除。

要告诉，第三方抢票软件不仅能提供核心的商业信息（如价格、用户信息等），还不会妨碍长时间用户的活动（如供不应求、蓄意刷票等），第三方不会取得更加多业务营收，但12306的信誉以及核心数据等方面则不会遭到损失。由此，我们就更加需要解读12306为什么要上线候补购票的功能。

12306有可能是这样容许抢票软件那么，铁路部门是如何辨识第三方软件抢票的涉及机器特征并被实行容许措施？由于12306并没发布其明确的容许技术，因此(公众号：)告知了业内专家，专家回应明确的原理不便谈，但可以判断的是抢票软件是程序（机器人）自动运营，归属于爬虫一类。因此我们可以参照以防爬虫的对应方式，防止爬虫的四种思路：特征库必要删除、JS无感人机辨识、不道德出现异常检测和威胁情报库去理解。第一种必须利用安全性人员非常丰富的经验，他们往往能迅速从采访日志中显现出若无出现异常不道德，比如长时间用户会必要催促的页面采访却不带上任何referer、从主域名跳跃切线来的催促不带上任何cookie、request body中包括一个大量反复的手机号，这些显著或不显著的“特征”，都可以作为第一道爬虫检测策略——特征删除。除了访问控制，通过JS收集网页环境中的操作者不道德、设备硬件信息、指纹等特征来辨别催促否来自于自动化工具也是少见的思路。

不过，虽然思路非常简单，但在没什么秘密的前端对付环境中，保证收集到的信息和风险辨别模型的准确性毕竟专业的安全性团队投放相当大的精力来建设的能力。但是，特征给定因不具备很强的对付特征，是最更容易跨过的防水规则，这就牵涉到到不道德出现异常不道德检测。说道到不道德，大部分人第一反应认同是车速，不过车速有许多必须思维的细节问题。

另外， 从UBA（UserBehavior Analysis）角度去建模也是一种不俗的思路，机器学习需要综合多个仔细观察角度和维度去辨识爬虫，减少了跨过和对付的成本，这是相对于规则类防水的一个优势。而且，针对一些精心结构的低频、线性IP，机器学习可以很好的填补规则检测的短板。

威胁情报库用一个例子来解释，机票一向是爬虫重点注目的对象，一个黄牛或旅行社背后的爬虫往往不会流连各大航司以提供屈指可数的票价信息，所以当检测到一个爬虫流连了ABCDE航司后，他爬到X航的概率大吗？当然。这个不是假设，而是早已在实际的流量中找到的不道德。由此扩展进，基于一定的模型分解在多家航司网站上有过怀疑不道德的，动态的爬虫库，这就是典型的云上协同防卫模型。

这样对于新的终端的X航来说，甚至可以用情报的思路把防水做事前。至于12306究竟是使用了哪些技术，还须要等候证实。

指出，从安全性的看作，从12306官方渠道显然比较更加有确保，但坚信许多用户不用于12306网站和APP是因为对其体验十分反感。因此，从市场需求的看作第三方抢票软件仍有很强的市场需求，并且12306的容许与抢票软件的对付将不会仍然持续，直到春运的关键问题发生变化。

本文参照阿里云安全性公众号君扬作者的《一场无休止的战争 浅谈两翼防爬的”抗战“ 之路》涉及文章：铁总坚称，那暗网超强 400 万 12306 用户数据就是指哪泄漏的？失望！我被有偿抢票软件被骗了，这货竟然抢走不过12306原创文章，予以许可禁令刊登。下文闻刊登须知。

本文来源：博业·体育网页版登录入口-www.maokesj.com