700塊錢「買到」全國簡歷，「58同城信息採集器」到底有多逆天？

你剛剛在 58 同城上提交了一份求職信息，兩分鐘後你就接到了面試電話，正是你最想從事的工作，而且條件十分優厚，工資高，保險好，今天簽合同，明天就上班。你興高采烈地答應去應聘，卻沒想到你踏出家門的瞬間，就可能走向了騙子精心編製的求職陷阱。

騙子在面試時會向你各種展示公司的實力，讓你感覺今生如果不在此地工作，人生就充滿了遺憾。然後話鋒一轉，需要你提交工作押金、高額體檢費用等等。

當你被升職加薪出任總經理迎娶白富美的美好幻覺豬油蒙心的時候，很可能就會乖乖掏腰包，把今天中午的飯錢都掏給騙子。

你還對他說：謝謝啊！

你的求職信息，在發出後的一瞬間就到了騙子手上，這不是危言聳聽，這是事實。這就是黑產中盛行的一類「58同城信息採集器」的神奇作用。

【某「58同城信息採集器」截圖/圖片由白帽匯提供】

這個神器可以做到什麼呢？

為了搞清這類「58信息採集器」究竟是何方神聖，雷鋒網宅客頻道找到了安全公司白帽匯，他們對其中一款進行了測試，白帽匯 CEO 趙武告訴宅客頻道：

這個軟體利用了58系統的一些不算高危的漏洞組合，可以把求職者的全部信息爬下來，這其中包括用戶的姓名、手機號、求職方向、年齡、期望月薪、工作經驗、居住地、學歷、用戶ID、更新簡歷時間等等。根據我們的測試，這類軟體可以一直不停地爬網站數據，直到把網站的所有求職者數據都爬下來。

實際上，你在58同城上提交的求職信息，當然是可以被用人單位查看的，但是58同城的標準做法是向58購買簡歷套餐，每份簡歷約合14.5元-20元。但是在黑市中購買「58信息採集器」，卻只需要700塊左右。

也就是說，如果騙子買到了這個「58同城信息採集器」，就可以用非常低的成本獲得他想要的信息，從而有針對性地撥出詐騙電話。

根據趙武的介紹，從技術上來說，這類工具可以按照用戶的「解密ID」來排列用戶信息，也就是說，越是最新發布的求職消息，越會最先被這類軟體獲得。

【泄露的信息截圖】

這種對58的盜竊已經泛濫到什麼程度了呢？

對於這種「信息採集器」，各個灰色產業有幾種利用方法：

1、爬下招聘信息直接出售

根據另一位知情人士提供的信息，在地下產業中，有專門的組織利用這類「58信息採集器」大批量地拖58同城的數據，然後形成自己的「信息庫」，轉手賣給有招工需求的公司或者「有招工需求」的騙子。

宅客頻道看到，根據《21世紀經濟報道》的調查，在淘寶上批發「58同城簡曆數據」，「一次購買2萬份以上，3毛一條；10萬以上，2毛一條。要多少有多少，全國同步實時更新。」這類軟體可採集全國430多個城市，464個職業的簡曆數據。

【通過採集器可以獲取的信息】

2、直接用「58信息採集器」爬到最新鮮的求職信息

實際上，如果你能找到渠道都買一個這類採集器，它可以根據你的限定條件來實時搜索你要的求職者信息。例如：你可以選定北京，再選定想找編程工作的求職者，那麼所有的信息都會按照時間順序由新到舊排列下去，任君選擇。

根據上述知情人士的透露，這類軟體的泛濫程度令人髮指，很多正規公司都購買這樣的軟體，直接繞過58的付費系統來進行招聘。這其中甚至有超出你想像的大企業和公司。

白帽匯 CEO 趙武告訴雷鋒網宅客頻道，

我們調查了其中一個軟體，發現它已經相當成熟，例如軟體可以做到和機器綁定，每天只允許最多切換十台機器登陸。一旦我換機器登陸，還會提示我扣除一定時間的使用時長。

我們還查看了它的更新文檔，發現它有相當長的更新歷史，從1.0到2.0到3.0，在文檔中我們還發現，招聘信息盜取有可能只是他們的一個小業務，因為其中還涉及到車管所、遊戲賬戶等等服務。這很可能是一個大的產業鏈的一部分。

【破解論壇上流傳的各種58同城數據採集器】

這種信息盜取究竟如何實現的？

趙武為雷鋒網宅客頻道簡單分析了一下這種盜取的技術：

1、利用58同城在移動端的一個介面，通過這個借口可以批量獲取用戶的簡歷ID以及加密不嚴謹的用戶ID信息

2、利用另一個介面導致用戶包括姓名等真實信息泄漏。

3、通過58的微店程序能夠通過用戶ID最終獲取用戶的電話號碼。

其實這幾個漏洞任何一個都算不上是高危漏洞，甚至可以算是正常的介面功能。但是結合在一起就會造成這樣的泄露。

趙武同時告訴宅客頻道，根據他們的調查，目前58同城的求職信息沒有發生大規模地公開泄露，但是根據這類軟體的成熟程度來推測，很可能這類軟體已經被大規模傳播，用戶信息被一些組織非法盜取進行「私用」。

目測隨著更多媒體關注這個事件，也會有更多的騙子和黑產集團盯上這種方法。如果你剛剛投遞了簡歷，一定要小心，仔細甄別電話那頭的「老闆」是不是騙子。也請你趕快把這類騙術告訴你的朋友，避免他們上當。

相信58同城也會在第一時間進行技術上的升級。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！