点击上方「蓝字」关注我们
2023年，某地公安破获了一起涉案金额高达1800万的黑产平台推手引流案。本案中，涉案人员在境外搭建免费带颜色网站为赌博、色情带颜色直播、诈骗等平台提供广告位，并以此牟利。我司受托对涉案服务器进行分析，追溯相关视频的播放地址，为公安机关侦破案件提供了重要支撑。
对于其中涉及的取证思路分享如下，欢迎各位读者讨论交流
案件关键点剖析
结算依据与方式
首先，黑产平台会给推手提供具备推广码标识的链接或二维码以便统计下载量和点击量，为引流网站则会直接提供具备推广ID的广告嵌入代码，并生成渠道报表以供推手对账，最后据点击、下载、注册量等情况使用虚拟货币与推手结算。
引流方式
1.通过短视频、直播、社交平台等进行引流
在各大短视频、社交平台中经常有视频内附不明意义的链接，看似是免费的资源，实则为引流推手的“敲门砖”。本案中涉案人员通过上游卡商、接码平台大量购买注册抖音号，在热门短视频下发表评论，如：“看我主页”、“点我有惊喜”、“点我有福利”等具有诱导性的话语吸引受害者访问其主页。
在其主页则有黑产平台的相关链接或二维码，推手为了避免封号甚至直接将链接分成两段字母嵌入两个作品的封面中。
当然也有长期发视频养号建立粉丝群私发推广的情况，本文不作具体展开。
2.通过免费带颜色网站或盗版影音资源网站进行引流
推手先是租赁服务器搭建网站，然后通过视频采集工具到上游资源网采集颜色&盗版资源的m3u8链接，将链接嵌入站点以实现站点资源的实时更新，实际视频并未在自身数据库中存储。
因此假如上游资源网链接失效时就会导致网站的视频无法打开，有些推手会干脆建立视频资源服务器将采集的视频资源全部下载存储，同时在视频中嵌入滚动广告再次作为采集链接发布，以供其他推手帮自己推广。
推广引流行为的认定
对于该类案件中的引流行为的认定是重中之重。需要注意：
域名同一性的认定
嫌疑人在搭建网站时为了防封，通常会搭建多个IP实际指向同一个服务器的情况。实际固证中出现数百上千域名实际为同一性网站时，不做同一性的认定会导致工作量剧增。
PC端与移动端的差异
网站一般做了移动端与PC端的适配，实际取证过程中我们发现移动端的广告内容要多于PC端，固定过程中需要注意切勿遗漏。
广告涉及的APK或网站内容同样需要固定，以证实黑产平台的性质
视频资源的取证
在这一过程中，涉案视频是以m3u8的切片方式进行存储，在数据库中仅有视频链接而无视频资源，失效较快，所以要尽快进行固证。（在数据库中有实际存储视频的情况不作讨论）详细固定方法在我司该文章中已有详细描述（引用消失的证据）本文不作展开。
视频链接与站点资源的对应关系溯源
因实际视频资源并非由涉案人员提供而是从第三方采集而来，那么将视频资源与网站站点资源本身关联起来就成了重中之重，我们需要明确m3u8链接与站点视频的对应关系，补全关键链条。
我司提供以下解决方案：
协助现勘
专家在现场对该案涉及的所有境外服务器、云数据库等进行协助固证，确保无遗漏。
站点与数据库筛查
根据经验对大量涉案服务器数据进行分析，迅速定位关键服务器数据库与站点。
对涉案视频进行溯源与固定
通过分析数据库与站点资源文件，明确m3u8链接与站点视频的对应关系，补全关键链条。
点个在看 你最好看
原文始发于微信公众号（网络安全与取证研究）：黑产平台推手引流案取证思路分享
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论