[LT駆動開発 01]のスライドです。

1. Twitterのスパムアカウントを
考察する
2014/03/01 LTDD #01
ねむねむ @nemumupoyo

2. 自己紹介
•
HN: ねむねむ
•
Twitter: @nemumupoyo
•
情報系の学生です

3. Twitterスパムアカウントとは
•
ここ最近増えている、無差別フォローアカウント
•
リンク付きツイートを行い、そのリンクを踏む
とアプリ認証ページへ飛ばされる
•
間違えてアプリ認証をするとあんなことやこん
なことをされる(後述)

4. スパムアカウントの生成目的
•
アカウントそのものを売るため
•
アプリ認証をさせて情報を取得するため
•
アプリ認証でフォロワーを増やすため
•
情報操作 #知らんけど
•
その他(トレンドねつ造、何らかの研究など)

5. アプリ認証するとどうなるか
•
勝手にツイートされる
•
勝手に知らない人をフォローされる
•
勝手にDMを読まれたり送られたりする
•
勝手にプロフィール画像・ユーザー名を変更される
(́･ω･`)･ω･`) ｷｬｰ
/ つ ＼怖いー

6. という話は置いておいて

7. 本題

8. そんなに大量のアカウントを
どのように生成しているのか？

9. 技術的に問題点がありそう
•
APIがアプリケーションごと停止されたら終わり
なのでは？
•
画像認証もあるのでは？
•
アカウント作成数に制限とかあるのでは？

10. 技術的に問題点がありそう
•
APIがアプリケーションごと停止されたら終わり
なのでは？
•
画像認証もあるのでは？
•
アカウント作成数に制限とかあるのでは？

11. クライアントを
確認してみました

13. クライアントを使わず
Web・keitai WebなどWeb上から
ツイートしている
APIを経由せず公式のWebを使うことで
アカウント全体の凍結を防ぐ

14. 技術的に問題点がありそう
•
APIがアプリケーションごと停止されたら終わり
なのでは？
•
画像認証もあるのでは？
•
アカウント作成数に制限とかあるのでは？

15. 技術的に問題点がありそう
•
APIがアプリケーションごと停止されたら終わり
なのでは？
•
画像認証もあるのでは？
•
アカウント作成数に制限とかあるのでは？

16. 手作業でアカウントを
作成してみました

17. 分かったこと
•
どのIPアドレス(国も問わず)でも1回目は画像認
証が表示されない
•
2回目からは画像認証が表示される
•
8回目辺りでアカウント作成画面で弾かれる
•
約1日経つとカウントはリセットされる

18. 分かったこと
•
どのIPアドレス(国も問わず)でも1回目は画像認
証が表示されない
•
あれ？
2回目からは画像認証が表示される
画像認証が出ない
•
8回目辺りでアカウント作成画面で弾かれる
•
約1日経つとカウントはリセットされる

19. フォームのPOST内容
パラメータ名
詳細
authenticity_token
hiddenフィールドに表記されたToken
user[name]
登録するユーザーのユーザー名
user[email]
登録するユーザーのメールアドレス
user[user_password]
登録するユーザーのパスワード
user[screen_name]
登録するユーザーのID
user[remember_me_on_signup]
ログイン維持の確認
user[use_cookie_personalization]
Cookieによるトラッキング機能の確認
asked_cookie_personalization_setti
ng
user[send_email_newsletter]
hiddenフィールド(常に1)
最新情報をメールで受信するか
user[discoverable_by_email]
メールアドレスからの友人検索機能
context、ad_id、ad_ref
空文字・無くても良さそう？
Cookie・Session
レスポンスに含まれるCookie,Session

20. これなら
自動生成ができそう
でも
1日1回までなら大量自動生成
とは言えない

21. 技術的に問題点がありそう
•
APIがアプリケーションごと停止されたら終わり
なのでは？
•
画像認証もあるのでは？
•
アカウント作成数に制限とかあるのでは？

22. 技術的に問題点がありそう
•
APIがアプリケーションごと停止されたら終わり
なのでは？
•
画像認証もあるのでは？
•
アカウント作成数に制限とかあるのでは？

23. そこでEC2です

24. EC2はインスタンスを再起動する度に
IPが変更される
(固定IPにすることも可能)

25. Twitterアカウント登録フォーム
POST送信
EC2
起動・再起動
EC2 API Tools
PC

26. EC2無料枠で計算すると
EC2無料枠(月750時間)で計算すると
1年(12ヶ月で)
理論上では12 750 = 9000 (個)
のアカウントを作成可能

27. あれ？

28. 別にEC2使わなくてもFlashやJava
Servletを使ってCookie・Sessionを
管理できれば自動生成が可能なのでは？

29. POST送信にFlashや
Java Servletを悪用された場合
•
FlashやJava Servletを用いてSession・Cookieを
管理することで悪意のあるサイトにアクセスしただ
けでアクセスしたユーザーのIPアドレスでTwitterア
カウントを作成することが可能
•
バックグラウンドで動作し、ユーザーには目に見え
る影響が無いため被害に気づきにくい
•
IPアドレスがランダムなため、アカウントを凍結す
ることが難しい

30. まとめ・感想
•
Twitterアカウントの自動生成は実現可能
•
アカウント作成時に必ず画像認証を出さない理
由は不明(ユーザー数を増やすため？)
•
APIに対する規制を強化してもスパムに対しての
効果は薄い

31. ご静聴ありがとうございました
@nemumupoyo