你剛剛在 58 同城上提交了一份求職信息，兩分鐘後你就接到了面試電話，正是你最想從事的工作，而且條件十分優厚，工資高，保險好，今天籤合同，明天就上班。你興高采烈地答應去應聘，卻沒想到你踏出家門的瞬間，就可能走向了騙子精心編制的求職陷阱。
騙子在面試時會向你各種展示公司的實力，讓你感覺今生如果不在此地工作，人生就充滿了遺憾。然後話鋒一轉，需要你提交工作押金、高額體檢費用等等。
當你被升職加薪出任總經理迎娶白富美的美好幻覺豬油蒙心的時候，很可能就會乖乖掏腰包，把今天中午的飯錢都掏給騙子。
你還對他說：謝謝啊！
你的求職信息，在發出後的一瞬間就到了騙子手上，這不是危言聳聽，這是事實。這就是黑產中盛行的一類“58同城信息採集器”的神奇作用。
【某“58同城信息採集器”截圖/圖片由白帽匯提供】
這個神器可以做到什麼呢？
為了搞清這類“58信息採集器”究竟是何方神聖，中哥找到了安全公司白帽匯，他們對其中一款進行了測試，百帽匯CEO趙武告訴中哥：
這個軟件利用了58系統的一些不算高危的漏洞組合，可以把求職者的全部信息爬下來，這其中包括用戶的姓名、手機號、求職方向、年齡、期望月薪、工作經驗、居住地、學歷、用戶ID、更新簡歷時間等等。根據我們的測試，這類軟件可以一直不停地爬網站數據，直到把網站的所有求職者數據都爬下來。
實際上，你在58同城上提交的求職信息，當然是可以被用人單位查看的，但是58同城的標準做法是向58購買簡歷套餐，每份簡歷約合14.5元-20元。但是在黑市中購買“58信息採集器”，卻只需要700塊左右。
也就是說，如果騙子買到了這個“58同城信息採集器”，就可以用非常低的成本獲得他想要的信息，從而有針對性地撥出詐騙電話。
根據趙武的介紹，從技術上來說，這類工具可以按照用戶的“解密ID”來排列用戶信息，也就是說，越是最新發布的求職消息，越會最先被這類軟件獲得。
【洩露的信息截圖】
這種對58的盜竊已經氾濫到什麼程度了呢？
對於這種“信息採集器”，各個灰色產業有幾種利用方法：
1、爬下招聘信息直接出售
根據另一位知情人士提供的信息，在地下產業中，有專門的組織利用這類“58信息採集器”大批量地拖58同城的數據，然後形成自己的“信息庫”，轉手賣給有招工需求的公司或者“有招工需求”的騙子。
根據《21世紀經濟報道》的調查，在淘寶上批發“58同城簡歷數據”，“一次購買2萬份以上，3毛一條；10萬以上，2毛一條。要多少有多少，全國同步實時更新。”這類軟件可採集全國430多個城市，464個職業的簡歷數據。
【通過採集器可以獲取的信息】
2、直接用“58信息採集器”爬到最新鮮的求職信息
實際上，如果你能找到渠道都買一個這類採集器，它可以根據你的限定條件來實時搜索你要的求職者信息。例如：你可以選定北京，再選定想找編程工作的求職者，那麼所有的信息都會按照時間順序由新到舊排列下去，任君選擇。
根據上述知情人士的透露，這類軟件的泛濫程度令人髮指，很多正規公司都購買這樣的軟件，直接繞過58的付費系統來進行招聘。這其中甚至有超出你想象的大企業和公司。
趙武：
我們調查了其中一個軟件，發現它已經相當成熟，例如軟件可以做到和機器綁定，每天只允許最多切換十臺機器登陸。一旦我換機器登陸，還會提示我扣除一定時間的使用時長。
我們還查看了它的更新文檔，發現它有相當長的更新歷史，從1.0到2.0到3.0，在文檔中我們還發現，招聘信息盜取有可能只是他們的一個小業務，因為其中還涉及到車管所、遊戲賬戶等等服務。這很可能是一個大的產業鏈的一部分。
【破解論壇上流傳的各種58同城數據採集器】
這種信息盜取究竟如何實現的？
趙武為中哥
簡單分析了一下這種盜取的技術：
1、利用58同城在移動端的一個接口，通過這個藉口可以批量獲取用戶的簡歷ID以及加密不嚴謹的用戶ID信息
2、利用另一個接口導致用戶包括姓名等真實信息洩漏。
3、通過58的微店程序能夠通過用戶ID最終獲取用戶的電話號碼。
其實這幾個漏洞任何一個都算不上是高危漏洞，甚至可以算是正常的接口功能。但是結合在一起就會造成這樣的洩露。
趙武說，根據他們的調查，目前58同城的求職信息沒有發生大規模地公開洩露，但是根據這類軟件的成熟程度來推測，很可能這類軟件已經被大規模傳播，用戶信息被一些組織非法盜取進行“私用”。
目測隨著更多媒體關注這個事件，也會有更多的騙子和黑產集團盯上這種方法。如果你剛剛投遞了簡歷，一定要小心，仔細甄別電話那頭的“老闆”是不是騙子。也請你趕快把這類騙術告訴你的朋友，避免他們上當。
相信58同城也會在第一時間進行技術上的升級。
閱讀更多 蜀報 的文章
