人肉搜索到底有多简单，以键盘侠为例

CVES实验室

      “CVES实验室”(www.cves.io)由团队旗下SRC组与渗透组合并而成，专注于漏洞挖掘、渗透测试与情报分析等方向。近年来我们报送漏洞总数已达八万余个，其中包含多个部级单位、多个通信运营商、Apache、Nginx、Thinkphp等，获得CNVD证书、CVE编号数百个，在不同规模的攻防演练活动中获奖无数，协助有关部门破获多起省督级别的案件。

"人肉搜索"

“人肉搜索”指以互联网为媒介搜集关于特定的人或者事的信息，组织“人肉搜索”，在信息网络上违法收集并向不特定多数人发布公民个人信息，情节严重，符合刑法第二百五十三条之一规定的，以侵犯公民个人信息罪定罪处罚。

相信搞安全的对这个词并不陌生，毕竟蓝队马喽们在溯源攻击行为时所使用的一些技巧皆属于人肉搜索。本文仅以之前遇到的一个小键盘侠作为例子进行讨论，并无任何不良引导，涉及到的一切技术性操作均为正常的技术手段。

事情起因

某天夜里，漫无目的的刷着QQ看点（该产品已违规下线），突然一篇有关“人肉搜索”的文章映入眼帘，在评论区处发现了这么一条有趣的评论：

可以看到，他们因为一个号码能不能进行“人肉搜索”而吵了起来，这位马喽认为一个号码什么用都没有，于是对另一位进行了挑衅，你过来呀。

看这马喽这么狂，于是我点开了他的QQ看点主页，看到了最新的一条回复：

一位网友把自己的某些遭遇进行了吐槽，这位马喽评论了一个侮辱国家的词，既然这样口无遮拦的话，那就拿你上上课吧。

上课时间到

首先，QQ看点有个主页，打开以后右点击右上角可以复制链接，复制后到浏览器打开会发现连接中带有一串base64编码（由于该应用已经下线，所以无法放图演示），此处用QQ小世界菠萝吹雪的主页作为演示吧：

复制链接以后，用浏览器访问得到：

https://h5.qzone.qq.com/v2/wezone/jump?_wv=3&encrypt=1&schema=CgASeG1xcWFwaTovL3FjaXJjbGUvb3Blbm1haW5wYWdlP3Vpbj0yOTQ0NTA4MTk0Jnhzal9hdXRob3JfdWluPTI5NDQ1MDgxOTQmeHNqX21haW5fZW50cmFuY2U9cXJjb2RlJnhzal9zdWJfZW50cmFuY2U9cHJvZmlsZRgA

可以看到后边有一串base64，解码一下:

如此，便得到了QQ号，那么现在再切换回那位马喽进行下一步“人肉搜索”。

通过QQ钱包转账功能可以穷举出其姓氏，如果此马喽姓名为两个字那么就能得到他的全名，此马喽正好是两字的全名：ZL。

姓名有了再找地址呗，找地址的方法就多得很了，可以加好友抓通讯数据包找到ip，也可以用点其他的技术手段，但这马喽不是说通过一个号码进行“人肉搜索”难吗，那就用最简单的方式呗，搜索引擎。

github的用户名可以看出来是他姓名的拼音首字母ZL+QQ号，所以可以确定姓名为真实的。

csdn可以看到ip属地山西省，也就是说此人很有可能是山西人，或者工作/读书在山西。

通过csdn的用户名继续进行搜索，各种社交平台都可以搜一下（虽然用户名可能有重名，但是头像也可以用来辅助筛选）：

bilibili：

微博：

oschina：

segmentfault：

汇总以上所有信息所有账号，对关注他的人，还有粉丝的信息进行梳理，可以得到该马喽的以下信息：

姓名ZL，籍贯山西大同人，在山西太原读书，生日为2003年5月16日。

那么，“人肉搜索”演示就先到这里，当然目前已经掌握的信息足以锁定到他的更深度的身份信息了，但由于是科普文所以不会继续深入了。

总结

以上内容都是通过搜索引擎搜索到的，但实际进行“人肉搜索”时，还可以使用“社工库”和各种技术手段作为辅助，当然也有一些不法分子利用有关人员的职务便利进行查询档案行为。

总而言之，通过一个号码进行“人肉搜索”并不难，但无论如何，“人肉搜索”都是违法行为，就算是以“正义”为名的“人肉搜索”依旧是存在不少争议，各位一定要严于律己哦~

原文始发于微信公众号（山海之关）：“人肉搜索”到底有多简单，以键盘侠为例