今天看到了一款极具想象力的软件产品，淘宝**抢拍器 （http://amxxx.net/）主要是针对taobao的秒杀活动的。

这款软件自身使用说明如下：

联合抢拍器的原理类似于迅雷下载，使用的人越多成功率越高，在联合抢拍器中任何用户都可以自己组建团队，组团抢拍，相互协助，凡是抢拍或协助成功者都将获得一定积分和经验值，有了积分才可以让更多人协助，有了经验值可以在比赛活动中获得领先地位，联合抢拍器的收费形式是抢拍成功后收费，收费标准请参考报价栏。

从中不能窥出，这个软件的设计思路非常好。如果是单IP提交“拍下”请求，未免成功率不高（可以想象 多个用户各自独立的使用这个软件单机版，那么谁会胜出呢？） 为了解决这个问题，软件设计成了协作版，目的就是让使用该软件的用户协作工作，从多个IP地址 瞬时向服务器提交大量请求，那么有99%的概率 服务器会从中选一个请求作为最终成交。无论这个协作圈子里面谁买到了，都可以转给真正需要这件商品的人，然后其他协作的人会得到经验值。

下了个客户端来装上（nod32提示有木马，哎，当神农尝百草了！后来发现好像是它的升级模块造成的误报）

界面还算精美，功能也很强大，不过需要先充值100RMB到它这个平台里面。估计是为了拍下以后：

1. 如果这是你协助别人拍的，钱会从那个人的账户中扣除，添加到你的账户中，（不知道这里收货地址怎么协调，是先寄给协助者 还是直接寄给买者？）
2. 如果正是你自己拍的，那么系统会用你存的这100块钱为你付款。

软件原理不太难，应该是伪造HTTP请求提交过去。验证码的处理，看到cnbeta上有人讨论，看来淘宝的验证码设计有问题（这个安全问题，应该是因为为了系统的低开销而引入的，否则一个session就需要server生成几百个随机数，那么多session，server handle不过来，也容易被DOS）。不过自己没有研究过CAPTCHA，不妄下结论。

‘

最后，提一些解决“抢拍器”问题的想法，技术方面（可以借用e-voting的一些思想）：

1. 规定一个时间窗，例如[20:00+x,20:02+y] 这里1<x<10和1<y<10是两个随机数，用以确定秒级别的开始时间。也就是说开始和结束时间大致是[20:00，20:02]，但在秒级别时随机的。这样杜绝那些用作弊器的用户，因为软件可以做到高精度的时间同步（比如说在20:00 第0秒就发出包） 而人是很难的。因此server最先收到的一批请求里面，作弊器提交的绝对占大多数。
2. 每个IP在规定时间窗里，只能提交一个请求，若多个则只算第一个
3. 以每个请求到达时间为每个请求的时间戳， 在结束后，server离线计算在时间窗内的请求的到达的先后顺序，从而判定谁拍到了
4. 最后记录下每个用户和其提交请求的时间戳与开始时间 （20:00+x）的偏差，用于建立一个用户行为的统计模型（这里就是提个想法，具体一点，可以写一篇硕士论文了）
5. 那么当这个作弊用户多次参与“秒杀”不同商品时，关于他行为（确切的说是提交时间）的一个统计规律就出来了。如果这里方差很小（小于了阈值），则判定为作弊。 这里利用的是： 作弊器比较机械，会着急在最靠近20:00的时候提交，而人则总是会犯错误的，哪怕是秒杀老手。另外，为了躲避这个模型检测，作弊器也可以引入随机延时，但这势必影响到它的成功率，因此会造成用户流失，也就间接达到了封杀作弊器的目的。
6. 当然，封杀住绝大部分作弊请求的代价是错杀了一小部分正常请求。
7. 其实，封杀作弊器是不难的，毕竟机械的提交会造成某些统计规律。taobao应该好好练练技术内功，学习一下google adsense和魔兽世界是如何做的。

非技术方面：

1. 这个游戏本来就不公平，对网络质量好、电脑配置好的用户有很大优势（假设没有作弊器）
2. taobao此举不外乎是为了炒作、炫耀自己，顺便提高网站访问量。
3. 这样的设计在商业上也许是个成功，在技术上确值得商榷。这样做基本上是号召很多用户在这个时间窗内DOS淘宝的服务器（事实也是如此，“秒杀”时 很多用户点击了没有反应，taobao实际上是秒杀了自己的服务器。。。）

Share on Facebook

Tags: 淘宝， 抢拍器