由一次用户反馈说开去

缘由


2019-04-04 的下午，我收到一份用户反馈的邮件，说是同样一个链接在两台不同的电脑上打开的效果不一致。一台电脑是“正常”打开，另一台则“打不开”，返回的是360netlab的sinkhole页面。我当然知道是因为我们的DNSMon的恶意域名拦截功能导致的，不过引起我兴趣的是具体被拦截的域名 1oau9.cn。 这种域名像极了黑灰产业链中用到的那种垃圾域名。在反馈中用户特意提到了“使用微信”点开链接，这一点和我上一篇文章提到的 TW 顶级域的滥用也很像。邮件截图如下：





域名用途


1oau9.cn 这个域名被拦截，在DNSMon系统中，没有任何可用的信息，被拦截是因为高可疑。不过从用户的反馈中，可以看到它有效的URL：http://1oau9.cn/main/66.html 。这一点同样证实了，现在大量的域名通过手机内部app直接访问，相关能够流落到外面的可能性越来越少。既然有了URL，难免不会去访问一番，访问之后是一个如下的页面：




从这个图中，至少可以看到三个信息：


 1. 这个页面确实是一个手机页面
 2. 看风格，既有美女，又有金钱，很大程度是一个诈骗的应用
 3. 下方有一个二维码，又存在着导流的功能。


接着第三个信息，我们扫码之后是一个如下的页面，看起来是做抽奖，如果分享给朋友，能多一次抽奖机会，裂变传播的常规套路。




关闭抽奖页面之后，看到的是一个很诱惑的图片，点击图片下方的寻找萌妹，就会跳转到正题，下载APP了，这个APP看起来是游戏陪练，具体功能这里不做深究。如下：




到这里我们看到微信里面的这种链接应该脱离不开投递广告，应用推广等这些基本的套路。


具体在微信中推广应用及微信对应的封堵策略等请查看参考文档1.以及参考文档2



关于文章开始的域名1oau9.cn


1oau9.cn这个域名看起来怪就是因为它很随机，字母数字组合，完全没有规律可循。要知道DNS的功能就是把人类难以记住的IP地址和较容易记住的域名关联起来，如果域名本身变得难以记忆了，那么这个域名还有什么意义呢？

也许它的作用还是只给机器（电脑）使用，而人不会直接用到它。那么需要大量自动使用域名的行业就会成为这类域名发挥作用的场所了。因为微信对基于微信平台的灰色应用的封杀导致在微信平台上做推广成了大量自动使用域名的新的舞台。和之前的站群SEO这种前辈一样。需求巨大。.TW的文章中提到哪里有便宜的域名，哪里就会有这种域名的应用。无论是TW低成本域名还是CF，ML，GQ这种免费域名还是各种 低成本的newGTLD，统统可以用来做业务的推广。

再回到初始域名1oau9.cn上来，是一个 以.CN为顶级域的域名。.CN顶级域与其他的顶级域有一个不同的地方在于CN域名如果有备案的话，它的价值就可以比无备案的域名高出很多，而域名是否备案又成了微信以及类似平台审核域名的一个关键点。那么备案是否也可以批量备案呢，答案是完全可以，具体请参考我们之前的关于备案的调查的文章。

我们接着看 1oau9.cn 这个域名的情况。注册人邮箱：zhang31407yang138@163.com。 通过DNSMon查询，这个email注册了 11611 个域名，全部是CN顶级域名。其中完成备案的有5359个域名，比例为：46.14%。这个比例和其他的疯狂注册并备案的注册人来说，并不算高。这5359个域名分别使用了如下公司进行备案：


 * 2915 山西敏洋溢网络科技有限公司
 * 1067 山西洋然涵科技有限公司
 * 1067 山西春鹤阳溢科技咨询有限公司
 * 261 内蒙古泓郜消防设备有限公司
 * 14 太原市万柏林区凡凡日化经销部
 * 15 其他人员/公司


由上面的公司以及下面备案省份的统计可以看出，主备案省份还是山西省，与之前的调查结果一致：


 * 5068 晋
 * 261 蒙
 * 14 赣
 * 9 鲁
 * 3 宁
 * 2 冀
 * 1 鄂
 * 1 滇


备案日期主要集中在3月18号，非常的新：


 * 3984 2019-03-18 00
 * 1081 2019-01-21 00
 * 261 2019-01-11 00
 * 16 2019-03-19 00
 * 17 其他日期（均为2019年2月12号以后）



域名的注册和出售


在分析 TW域名的时候，我们考察过一些域名注册商打包出售这种批量注册，备案域名的情况。比如典型的怀米网，域名批发网均会大量出售这种域名给后端需要使用大量域名的客户。域名出售商往往会根据域名是否被平台或者安全公司封杀，以及是否有备案等属性来给不同的域名定不同的价格，以此达到利润的最大化。





产业链条


至此，我们可以大致勾勒出这种批量域名的整个产业链：


 1. 米农/域名注册商利用各种机会手段从注册商/注册局批量注册大量的域名。在做批发业务的时候，他们并不关心域名本身是否容易记忆，是否有品牌意义等这些常规注册时才需要考虑的属性。只求便宜，量大，因此注册域名都是随机域名（既可以字母随机，也可以数字随机还可以字母数字混合随机）。一个典型的米农的工作内容：既要查询域名是否被注册，又要查询域名是否有备案，还要查询域名是否被微信拦截等等。
 2. 为了提高收益，有些米农/注册商会对批量注册的域名进行批量的备案。具体的备案方式可以分为两种：一种是通过灰色渠道批量购买公司营业执照的方式进行公司备案，另一种是通过购买/雇佣个人信息的方式进行个人域名备案。做一个代备案的费用大概在1500块，卖家会提供营业执照给买房。像我们观察到的现象，批量的备案方式，卖家只提供营业执照的照片，相应的价格会便宜，大概每个域名500块。
    
    
 3. 米农/注册商在各自的平台或者借助第三方的平台对已注册域名或者已备案域名进行出售。相比较个人去注册商注册域名，这种出售价格往往也非常低廉（以TW的域名为例，Godday的注册价格是这种批发域名价格的40倍左右），出售的时候只批发不零售，出售/出租给需要大量域名的用户。这种出售一般情况下不会更改whois的注册人信息，也就是这种出售从whois角度来看应该理解为出租。
 4. 需要大量域名的行业批量购入这些域名之后，结合自己的业务将其投入到实际使用中，比如在微信平台上的各种推广，垃圾站群的SEO以及各种赌博或者色情的广告平台。如果被安全公司或者应用平台封杀，那么这些域名会弃之不用，从新购入新的域名继续之前的业务。同时也有一些专门的产业从业者从事抗平台封杀技术的服务和提供，比如这里以及这里等等。
 5. 被封杀的域名会继续进入米农/注册商的仓库，等待下一批新的用户的购买/租用。关于这一点请参考这里的文章中提到的微信拦截因素的第一条。以及从下图可以看到，域名在不同的米农之间流转非常正常：
    
    
    
    
 6. 这种模式在一定程度上是一种域名的DGA + Fastflux的结合。



结论


我们从一次用户真实的反馈开始，验证了之前我们对这种域名的使用模式的猜想。

从中可以看到：


 1. 黑灰色产业链条使用域名上面已经非常完善。从注册，备案，到使用，回收，之后再次使用这个闭环甚至可以无限循环下去。产业链非常强大。
 2. 为了应对这种情况，相应的，我们必须从域名注册，域名备案，以及域名滥用检测等多个方面完善现有功能，补上现在存在的各种漏洞。



参考链接


 1. https://www.jianshu.com/p/c6aca59ec94b
 2. http://www.zjychina.cn/p/1443217.html
 3. https://www.jianshu.com/p/8801f1c99f49?utm_campaign=maleskine&utm_content=note&utm_medium=seo_notes&utm_source=recommendation
 4. https://www.v2ex.com/t/541002
 5. http://fbp.xianzais.top/
 6. http://www.dingxsd.com/