近日，中央電視臺(tái)新聞欄目曝光了利用12306網(wǎng)站的漏洞，借助電子搶票軟件非法牟利的消息，立刻引起社會(huì)關(guān)注。根據(jù)調(diào)查，12306網(wǎng)站在售退票過程中多個(gè)環(huán)節(jié)存在漏洞。

根據(jù)報(bào)道，網(wǎng)上流行著許多搶票軟件，其中還包括收費(fèi)的搶票工具，從幾元幾十元一個(gè)的“個(gè)人版”，到收費(fèi)上千元每月的“企業(yè)版”，價(jià)格不等功能不一。

記者昨天聯(lián)系到獵豹公司相關(guān)負(fù)責(zé)人。對(duì)方表示，這些刷屏軟件可以避開12306網(wǎng)站的購票規(guī)則，并且能夠輕松繞過其技術(shù)限制，大量刷得火車票。

據(jù)了解，12306網(wǎng)站為防止機(jī)器幕后操縱，特意對(duì)訂票過程設(shè)置限制，即兩次查票時(shí)間間隔不低于5秒，登陸和提交訂單時(shí)需輸入驗(yàn)證碼。同時(shí)規(guī)定，普通用戶通過12306每次只能買5張票。

上述負(fù)責(zé)人表示，通過調(diào)查他們發(fā)現(xiàn)，這些刷屏軟件可以自動(dòng)尋找12306網(wǎng)站速度最好的服務(wù)器，提高刷屏成功的幾率，然后利用網(wǎng)站驗(yàn)證碼漏洞以毫秒速度自動(dòng)輸入驗(yàn)證碼，并且可以規(guī)避5秒查票時(shí)間間隔，沒有了這些限制之后，刷屏軟件可以比常人手動(dòng)搶票快“上百倍”。

利用上述刷票軟件，一些通過刷票倒賣火車票的“網(wǎng)絡(luò)黃牛”在成功繞過驗(yàn)證、自動(dòng)刷票、毫秒搶票之后提前利用假身份證注冊(cè)上千個(gè)賬號(hào)，然后批量導(dǎo)入這些賬號(hào)同時(shí)刷票，一次性就可搶到上千張票，甚至一整節(jié)車廂的票都能被瞬間搶走。有網(wǎng)友直呼，“黃牛軟件才真正是‘狂拽吊炸天’的搶票神器啊”。

通過對(duì)12306網(wǎng)站的分析，獵豹安全專家發(fā)現(xiàn)，12306網(wǎng)站對(duì)訂單提交驗(yàn)證碼時(shí)校驗(yàn)不嚴(yán)，沒有保證進(jìn)入提交頁后獲取。該漏洞導(dǎo)致刷票軟件可以直接獲得驗(yàn)證碼圖片，查票完成后，直接提交訂單，跳過驗(yàn)證碼環(huán)節(jié)。

對(duì)此，安全專家建議12306網(wǎng)站修改驗(yàn)證碼機(jī)制，采用人工智能驗(yàn)證碼。比如問題是，足球和乒乓球哪個(gè)大？答案是足球。1+3=幾，答案是4。用戶只需輸入“足球”或者“4”就可以通過驗(yàn)證。這種驗(yàn)證碼，機(jī)器極難回答，而人工很容易回答。

根據(jù)報(bào)道，12306網(wǎng)站在身份證驗(yàn)證方面并沒有與公安機(jī)關(guān)進(jìn)行身份證系統(tǒng)的對(duì)接，也為“網(wǎng)絡(luò)黃牛”提供了可乘之機(jī)，導(dǎo)致大量車票流入不發(fā)之徒手中。安全專家建議12306網(wǎng)站與公安機(jī)關(guān)進(jìn)行身份證系統(tǒng)的對(duì)接，用戶注冊(cè)和購票時(shí)，需要提供真實(shí)有效的身份證信息。（記者 崔雷）