今天被撸羊毛党狠狠上了一课

[burgleaf]

公司 app 做了一个门槛比较低的活动，大概就是用户注册后能在某个页面领兑换码兑换王者荣耀皮肤。 拿到这个需求也太萌新了，就加了一个每个用户只能领一次的验证，然后就兴致冲冲上线了。

果不其然，凌晨两点运营收到库存告罄的短信。才发现被脚本批量注册，然后刷兑换码。app 注册方式有：手机号，QQ,微信，我们发现脚本用的都是真实的手机号、QQ 和微信注册，并且 ip 是随机的，设备号也不一样。 感觉从注册入手没有办法，于是我们就想到了在获取兑换码的页面加一个验证码来防机器，然后我们就注册了《极验》，花了一个小时调试好把《极验》验证码上了上去，信心满满的让运营加库存。

果不其然，一个小时后撸羊毛脚本又正常运行了，库存再次告罄。然后在网上一查发现“滑块验证码”早就被破解了，就去找《极验》的销售，销售建议用付费版。但是我们这种小成本的运营活动花这么多钱买付费版肯定不划算，无计可施，运营只能把这个活动下掉。


V 社有没有同样踩到这种坑的同学，有什么好办法么？

[zhangtao]

兑换最后一步加短信验证码

[gstqc]

如果流程上能搞定：皮肤直接发到王者荣耀的账号

[opengps]

实名制虽然也能被利用，但是起码是防羊毛党的高门槛

[burgleaf]

@zhangtao 他们能很低成本批量拿到手机号和验证

[herozzm]

购买黑名单手机号码库

[ihacku]

https://007.qq.com/

[dongyulin353]

手机号有专门的接码平台，这个是防不住的，楼上的皮肤直接发到王者荣耀的账号，这个不错，没玩过王者，不知道是不是可以通过手机号码发到对应的账号，另外可以加个延时发送的功能，比如 12 小时候到账，可以后台去撤销一些明显批量注册的

[yzxhzxsw]

验证码以及封 IP 在专业的羊毛党面前不堪一击，主要还是要提高刷的成本，不要问我怎么知道的

[kokutou]

直接发到王者荣耀这个不错。。。

[paicha]

提高操作门槛，尽量与产品业务逻辑绑定。
比如要求注册 N 天的用户、用户等级、邀请好友才能领取、领取需支付 0.01 元、完成 App 特定任务……

就算不被薅，你们搞这个获得是为了拉新吧，普通用户注册就能领取，这样拉新过后的留存率也会很低。
所以建议活动还是要跟具体业务结合，以刺激对应的核心指标增长。

[lychnis]

相关 鹅肠离职员工

搞这种白嫖活动不接过滤措施基本就是公司白送 真实用户完全没有享受到福利，甚至会因为拿不到奖励骂这个是骗人的

[oyosc]

需要实名验证+银行卡绑定

[noaccounthere]

短信验证码也已经不能组织黑产了

[delectate]

防不住，他们掌握的资源很多，而且手机号身份证号的成本极低，还有群控软件，所以你可以增加一个排队放号机制，比如说 5 分钟只能放 10 个号，让他们抢就是了；如果不想增加这样的机制，就要求获取芝麻信用分吧。

[rogwan]

验证码用语音电话播报的方式下发，羊毛党的手机号都是无人接听的。

[Nick2VIPUser]

提高羊毛党的成本，你们的成本也会被提高

[mztql]

语音验证码和绑卡成本比较高，或者加一个抽奖分散概率

[ADragon3]

楼上说的方法很好，直接发放到手机号，而不是激活码。不过这个实现起来可能有难度，估计你们这种小活动也没有这么高的权限

[Baymaxbowen]

很好奇羊毛党一般都是怎么知道哪有活动的？

[HFX3389]

@Baymaxbowen 比如，你知道了活动，发群里，如果又一个人再发或者群里就潜伏一个羊毛党就会像病毒一样传播的！

[faemon]

获取兑换码后需要一段时间才能兑，然后兑换再次验证短信验证码

[shiny]

不知道有没有金盆洗手的羊毛党来分享下怎样低成本有效反制

[0myun]

给你个建议
加上行短信验证

[gfy0921]

在褥羊毛的群里，总有这种羊毛，防不住的

[maro]

当然是注册后抽奖啊 看看腾讯怎么做的就知道啊

[d5n]

链接在哪？我也想弄个皮肤

[DeWhite]

最有效的办法不是上什么验证码之类的，
做过产品经理的一般都知道光送羊毛党甚至可以手刷，正确方法是设置一个门槛微信支付大概 0.01 。

[LukeChien]

领取成功三天后发放，三天后再验证一次手机号

[jiom]

@DeWhite 试过，这个也能大批量的撸

[designer]

“恭喜你！请你在三天领奖的有效期内上传本人身份证和户口本，及手持身份证配合姿势在线视频验证通过！”

—收割一波羊毛党的羊毛🦙

[xw900812]

所以说结论是怎么阻止？

[chenqh]

感觉羊毛党水好深

[emeab]

手机号码有黑名单的 之前不就有人说极验偷他们数据吗

[tony601818]

@chenqh 这种不是羊毛党，这是产业链

[lihongming]

说各种短信验证的都是没看过接码平台的，上下行、延期验证等等都能提供，就是稍微贵一点而已（当然这也算提高对方成本了，可以配合使用）

语音验证码是个不错的选项，成本很高。微信支付也应该加上，每个 openid 限参与一次，最好限制必须扫码支付……

总之原则是避免一切自动脚本操作的可能，让它必须人工操作，人工成本是最高的，羊毛不是特别大的话一般就不薅了。但也要注意不要增加正常用户的复杂度。

还有个绝招是，不要立即发送兑换码，活动结束后统一发到参与者的手机上。这样你就有时间人工干掉那些羊毛党了，不给他们发。不过这样也会使活动的吸引力降低一些，具体自己斟酌吧。

[d5]

赚客吧玩家表示咱们都是”手撸”的，对抗机器可以用免费的 recaptcha.net v3 无感知评级，每个用户在每个页面都会有 0 到 1 的人机评分。

简单 demo:
https://go.udemy8.com/motion-graphics-exercicios-praticos-no-blender

[alexkkaa]

楼上的 recapchta 是个好方法，据我所知打码平台打这种验证码很费劲，国内的基本没有，国外的打 v2 比较多，而且需要能获取到页面，如果是 app 的话根本没有页面，网页的话验证码点击后 ajax append 就好

[Solace202]

@zhangtao 卧槽，你这 ID，我的名字。。。

[Solace202]

确实这玩意除了技术解决，如果能和业务绑定应该会有好的解决办法的。

[bestkayle]

跳转支付宝实名验证？

[bestkayle]

看你能不能放得住张大妈

[hz570815725]

完全就是 防不胜防 除非绑定银行卡 其他手段大部分都是能刷的

[Leigg]

1. 注册账号用手机，且需要短信验证码，入库时将兑换码和手机号绑定
2. 兑换时对输入的兑换码和手机号做匹配验证+手机短信验证。
到这一步已经能筛掉 90%的羊毛党。（啥？你说他去找大量手机来搞，可以，但是有这资源和技术还会来刷你的皮肤么。）

[abcbuzhiming]

@burgleaf 这是目前物联网的漏洞，虽然一般的手机号码是实名的，但是实际上，有一个地方能找到大量的，不实名的手机卡，就是之前戴起来的共享单车，那里其实是有大量的，不实名但是可以用的卡的，这类卡可以收发短信，薅羊毛公司用一种叫猫池的东西批量管理这类卡，所以如果要验证，一个办法就是，页面告诉用户，要求用户主动的，向一个号码（该号码还必须是随机的）发送验证码（目前腾讯等大公司就是用的这个方法）。因为现在猫池控制系统似乎还没发展出能识别上行验证码然后主动发送的能力（但是我觉得这是暂时的，很可能以后真的只能靠让用户主动向特定号码拨号然后念随机语句来判断是否是真人了，毕竟音纹造假目前还没有什么进展）。

[hbpeng]

这根本不是羊毛党，不是正常用户，而是互联网黑产，他们很专业的

[rrZ2C]

竟然没有人出来骂 lz 也不来"科普"别的网站求着羊毛党刷业绩 啧啧

[winglight2016]

我们发现脚本用的都是真实的手机号、QQ 和微信注册，并且 ip 是随机的，设备号也不一样。

——既然如此，你们又是怎么判断一定是自动刷的呢？就不能是很多羊毛党手动刷吗？手动刷其实不能算违规了，毕竟你的活动规则也没说，羊毛党禁止参加，或者定义什么是羊毛党吧？

[iblessyou]

@winglight2016 我也感觉，王者荣耀没玩，但是以前的 LOL 没现在这么好获得皮肤的时候，
如果说哪个软件有这种活动，随便论坛贴吧转发下，估计服务器都能给他撑爆了

[stevenhawking]

本来以为是极验的软广。看到最后一句让我极度舒适。

建议用 recaptcha。国内已经可以用了

[Telegram]

@zhangtao #1 最后兑换皮肤时需要验证领取的手机号，并收取验证码。看他怎么卖

[awsx]

手机号的成本是很低的，微信相对好很多，限制微信登录才能参加？

[zhouzm]

想像一下，机器学习撸羊毛，可不可怕？

[SwagXin]

根本防不住，你可以设置一个抽奖，概率调低一点。

[m939594960]

当初在某即将暴雷的 P2P 工作时，公司弄了个很猛的活动，邀请注册就送 5 元微信红包，实名认证之后给 10 元微信红包。

实名认证需要 4 要素，身份证 + 同名电话 + 同名电话短信验证码 + 姓名，还需要绑定一个同名的银行卡。 一切操作都是在微信授权之后进行的，一个 openid 只能领取一次。
就这样还被薅的怀疑人生。。。 一夜之间，红包的账户已经没钱了，两台跑队列的机器都满载。。 然后还是有一堆实名认证的请求没处理。。。

[ODD10]

@oyosc #12 反感的不应该只有我一个，要你做产品，我第一个不支持

[danmary61]

@Baymaxbowen 赚客吧 www.zuanke8.com 了解一下，羊毛党的总部。做活动的不知道这个吧，算不及格。

[ladypxy]

其实可以参考腾讯做法，简单有效。就是验证码，不是腾讯发给你，而是要求用户用手机号发送指定数字到指定号码。

[haohh]

我只能。。心疼楼主

[alta]

@ladypxy 确实这个很难作假 即使作假成本也很高

[Windelight]

@ihacku 防水墙？是哪个很多年前腾讯电脑管家给 Discuz 做的那个吗？

[jdgui]

@rogwan #15
@ladypxy #57
你们都太天真了，现在语音验证码也能接受，主动发信息到指定号码也能做。。加钱就能完成了
毕竟你语音验证码直接转文本，识别率贼高。主动发信息到指定号码这个技术上也没有任何难度。
搜索一下 爱码族 你们可以去这里面看看，啥类型的平台都有

[Messiv2]

黑产党真牛逼

[blessme]

这也算黑产？ 连灰产都算不上吧

[x86]

加人工审核？

[ladypxy]

@jdgui 不是难度的问题，而是提升验证成本。90%的羊毛党都不会选择发短信的方式

[mztql]

#61 语音比短信价钱要高很多，而且接码率一般，屏蔽号段后成本就上来了，同号收发的成本也不低而且效率不高，抛开成本不论，最好的办法就是提高领奖门槛（签到一定周期，做任务攒积分，抽奖等等），水小的话薅的人就少了。再说了现在有什么好的技术手段能防薅，这钱还不如做线下的推广呢

[peng1994]

是什么 app。。我也想要皮肤，哈哈

[rogwan]

@jdgui 语音验证码，接码平台也是人工听取，收 3 元 /码。这种人肉听码，真的是没法防的了，坏人也是人呐

[yjd]

@rogwan 羊毛党 AI 都用上了。你真是太小看了

[Vegetable]

哎,无话可说,隔三差五就能听到这种新闻,羊毛党近乎无敌,被盯上就是一个死.
建议就不要拿太容易变现的激励做活动.比如你说的皮肤,再比如星巴克的优惠,各种充值的硬优惠,比如话费抵用券.

换句话说吧,当前阶段防羊毛党更多是运营的工作.运营必须认识到,现在的羊毛党不是什么技术主导,而是活生生的人堆出来的,技术只是辅助罢了.
什么验证都是笑话.打码真正的成本是号码资源,而不是操作难度.羊毛党拿真实的手机号银行卡身份证来,哪怕是人工打码也一样有的赚

[netstu]

@zhangtao 短信验证码同样不会起作用

[jdgui]

@rogwan #68 人工听那也太 low 了，你试一下把电话验证码录下来去识别一下，你会发现正确率高的狠。

[neptuno]

最后一步短信验证码，验证码为一个数学问题，可以为加减乘除，语意稍微复杂一点，提高薅羊毛成本就行了

[chengxiao]

哈哈 正好最近在做相关项目(非羊毛党,刷单)
说下思路 如楼上所说 确实是有很多接码平台 还有就是有很多 卡池猫池 所以手机验证码? 不存在的
麻烦些的上语音验证码 是可以滤一部分 但不是全部 还是有渠道可以接的

至于楼下说什么发短信过去 或者 数学问题? 太天真了 有能力分析你程序去做接码薅羊毛的都是同行好不,验证逻辑都会写相应的破解方法

像防这种 没有 100%有效的方法 毕竟像腾讯 阿里都没的防别说小公司了,只能说多加一道防护 能滤一部分人,但没有 100%的方法

职业羊毛党是有 身份证+微信+猫池卡池(自建接码平台,兼养微信号用)+手机群控+代码能力的,所以除非你想卡死新人准入门槛,一般是防不了的

[rogwan]

@yjd
@jdgui
以后验证码要加随机规则了，总之就是要让羊毛党写程序来不及。刚写好破解的程序，规则就已经边了。没有一劳永逸的攻防之道。

[Isaac313]

留言讨皮肤 (狗头.avi

[hundan]

有一个问题很关键。

虽然知道被薅羊毛了，但是你怎么知道哪些是羊毛党？

这个问题的最后一道关卡只能是风控了。

[cigarzh]

先上 recaptcha ？
另外这已经不是羊毛党了，这是搞黑产的

[sauren]

我们公司以前也经常碰到羊毛党，基本上都是用接码平台获取短信 /语音验证码的，极验之类的也可以使用打码平台手工打码过掉。后来我们反爬了接码平台的号源用来比对验证，做了个恶意号码库。楼主可以交流下。

[byteboy]

接入芝麻信用平台，系统判断高于 600 分用户才可以免费参加 😄

[qiansec]

安利一波自家的东西,自己开发的：www.qiansec.com 专们做的羊毛党识别，目前没做盈利。有每天免费 5000 条的额度，小业务注册量不大的化基本等于免费用了。