我用九天時間，深挖一條閒魚詐騙黑色產業鏈_風聞

來源：公眾號“我會永遠在你身後”

大家好，我是凌雲。 

因為平常乾的事比較特殊，所以我微信上加了挺多的警察，有時間會跟他們一塊聊聊技術，分析一些案件。 

2019年12月15號，有個警察老哥跟我聊了聊二手平台詐騙的事，兩天後，我回了趟家，跟家裏的親戚閒聊的時候，得知我老舅，在閒魚上買了台無人機，被騙了三千塊。

這事真挺巧的，剛聊完，親戚就被騙了

我跟老舅聊了十幾分鍾，才給聽明白到底怎麼一回事。 

我老舅這人，年紀雖然有點大，但比較喜歡接觸年輕人的事物，三天前，他從閒魚上想買台無人機，然後看到大疆精靈4Pro只賣2600，他也不懂市面價——這價格就算是二手的也不可能有。

然後就被對方騙了，這個騙局是這樣的——

它主要不是賣假貨，而是騙子故意發佈低於市場價很多的商品，然後説自己很少上閒魚，沒回復就加他QQ或者微信。 

或者乾脆説是給朋友掛閒魚賣的，具體讓買家聯繫他朋友，同樣也是留下一QQ或微信。 

不管用啥藉口，最終都是誘騙你添加他們的QQ或微信

當買家加上QQ或微信後問價，騙子報的價格都會比原來掛閒魚的價格少點，例如少一兩百，然後就説自己去改下價格，完事了就發你一個閒魚的寶貝鏈接。

而這個鏈接其實是一高仿閒魚APP的網站，是騙子自己搭建的，你在裏面付的款、會充值到第三方平台，最終轉到騙子手裏。 

這筆錢是充值到的是攜程禮品卡上

我聽明白這事後，問老舅，報警了沒有。

老舅説不報——跟大部分的中年人一樣，被騙錢怕丟臉，不去報警，其實很多的時候錢是能追回的，但他們就不樂意。 

我又勸了一會，實在勸不動，就讓他把那騙子的信息發過來我看看——接近年底，騙子開始衝業績，這事寫騙稿子估計挺有看頭的。

既然騙局的實施方法已經明確，接下來要做的就是整理初步已有的信息，制定調查計劃。

從我舅那得到以下信息

1.鹹魚賣家信息

2.賣家所謂的朋友QQ

3.假冒閒魚的網站

首先是閒魚的賣家信息，這一點我無從查起，在閒魚上申請官方介入，提交截圖和訂單號等所有相關信息，申請披露該賣家的個人信息。

另一方面，我查了一下賣家所謂的朋友QQ，發現該號碼的Q齡雖然是9年，但等級卻是兩個太陽，並且資料基本上是空白的——典型的從號販子買來的QQ。

典型買來的QQ

除了QQ號沒進展，那個假冒閒魚的網站也是如此。

在我舅發現被騙的第二天，該網站就已經無法打開，我猜測應該是騙子在打游擊戰，和做色情網站的人挺相似的。

騙了錢，網站立馬給刪掉了

騙一個人就刪掉網站程序，或者定時進行清空數據更換域名，避免警方進行收集信息或證據，這些都是他們常用的手法。

我通過Whois查詢該網站的註冊人相關信息，發現註冊的郵箱前面兩位被打上了星號，只能得知註冊人叫X冬梅。

從對方刪站的謹慎程度來看，想必Whois查詢到的信息同樣是假的，所以我放棄掉域名註冊人信息這條線索，可目前所有的線索也全斷了，想往下深入調查也找不到切入點。

這事直到第三天中午才出現轉折——賣家的閒魚賬號一下子發佈了好幾個寶貝。

騙子的閒魚更新了商品

我趕緊聯繫上該賣家，以購買無人機為由順利鑽進他的圈套中——大疆精靈誰TM賣2千塊，不是傻子就是騙子，但現實是，現在這年頭騙子比傻子多。

添加了對方的QQ後，我詢問價格，對方説兩千，比閒魚的要少一百塊，讓我稍等一下，他去改價格，等了幾分鐘，對方發過來一條鏈接。

獲得對方新的詐騙網站後，為了避免他們再次刪站跑路，就用等銀行卡提現到賬的方式拖時間。

我順理成章鑽進了他的圈套

打開該假冒網站，發現模仿的真的挺像的，如果我不是提前知道這是假的，估計也會當真。

一眼看去是不是沒看出真假

跟這網站裏轉了一圈，嘗試用Sql注入的方式入侵該網站，很快就發現不可行，對方做了防禦措施——看來搞詐騙的也要會網絡安全才行。

但是在填寫收貨地址的那一欄中，我發現是可以插入XSS惡意腳本的。

大概解釋一下啥是XSS，通俗點來説，我可以利用一段代碼插入到目標網站中，例如網站的評論中，當網站管理員登陸後台查看留言的時候，就會觸發XSS腳本，就像捕獵時放的陷阱一樣。

在收貨地址中插入XSS後，便開始等待魚兒上鈎，這個過程是比較期待的——頭次用如此猥瑣的進攻方式。

收貨地址那可以插入XSS惡意腳本

2019年12月23號晚上九點五十九分，XSS腳本有了反饋——對方上鈎了，我獲得了他們的後台鏈接以及一個Cookies。

我並沒有貿然進行登陸，而是通過一個肉雞服務器作為跳板，打開火狐瀏覽器，利用Hackbar插件將該Cookies登陸進去了此詐騙網站的後台。

我獲取到的Cookies，也就是密碼鑰匙

對於閒魚詐騙，我並不陌生，早在2017年就已經存在，當時也入侵過，不過那時候的後台很簡陋——基於一個不知名的CMS系統去改的。

而我現在入侵的這個後台，應該為今年最新的系統，裏邊多了很多功能，例如支持發佈閒魚和轉轉平台的假鏈接，並且可以通過一鍵採集的方式發佈假商品，這讓我不得不感嘆。

假冒閒魚網站的後台

“騙子也TM講究使用體驗和方便！”

在該後台中是可以看到瀏覽商品的受害者IP以及他們填寫的收貨地址姓名手機號，我粗略的看了下，上當概率蠻高的，一共七十多條的瀏覽記錄，其中有二十多人付了款。

受害者的IP地址

為了更全面的收集信息，我將這些受害者的姓名電話地址統統導出保存到電腦桌面，隨後繼續翻找後台等有用的相關信息。

但目前面臨新的一問題——後台當中並沒有關聯到騙子的相關線索。

無奈下，我點開修改密碼的那一欄，打算不讓騙子登這後台時，突然發現一個關鍵的信息。

後台管理員賬號！

管理員賬號肯定有貓膩

這個賬號由英文+數字相結合，一開始我以為後面的數字是個手機號，百度了一下發現並不是，但這個賬號絕對是有問題的。

後來我通過全網的信息檢索，終於找到一個新的突破口——這個詐騙網站後台的管理員賬號，是騙子的常用ID

這個叫ln164***的ID在去年開始頻繁活躍於各大貼吧，嘀嗒吧，瀋陽吧，瀋陽滴滴吧，等等。

通過管理員賬號我追查到的貼吧ID

此人關注了瀋陽的滴滴吧，在調查的過程中我是非常遵守“大膽猜測，小心求證”的原則。

所以斷定騙子為瀋陽人，可能主業是開滴滴，副業是搞詐騙的。

我花了半小時翻找了他所發佈的帖子，2018年11月有條帖子，他發了張系統截圖，裏邊泄露了一個微信號。

搜索該微信，發現地區歸屬確實是瀋陽，我計劃了一晚上，決定冒險加他聊聊——因為他可能是開滴滴的，所以我用上次坐過他車的藉口加他微信。

等對方同意後，我開始裝熟人，果然被我猜對了，這人真就是開滴滴的，估計副業就是搞詐騙。

很輕鬆就套到了一個手機號

可能是他確實忘了都載過誰，沒過多懷疑就給了一個手機號我。

除了得到此人手機號，另外在朋友圈內也發現了不少有用的信息——例如這條。

對方發的朋友圈

這條朋友圈信息量挺大的，首先這人是有老婆的，其次“老麼磕嚓眼”這詞，我問了一朋友，他説是瀋陽的方言。

另外這條朋友圈的圖片，裏邊有家網吧，名字叫天潤網吧，我在地圖搜索了一下，發現瀋陽就一家天潤網吧，在白塔街那邊

這附近有四個小區

而且這家網吧附近幾百米的地方一共有四個小區，一般人逛街散步正常情況下是不會離家太遠的，所以我開始下定論，此人居住的位置就在白塔街附近。

當朋友圈內再無發現任何信息後，我將調查方向放在了他的手機號上，通過搜索發現，他註冊了一個支付寶。

頭像是一本書，跟杜月笙有關的，可能這大哥比較想當黑幫…

支付寶的實名信息是*寧，我輸入一個李字，成功通過核驗，這也對上了那個詐騙網站後台的管理員賬户——ln16*****，開頭的兩個字母，正是李寧的拼音縮寫！

這騙子真叫李寧…

線索越來越清晰，我腦子有點亢奮，又花了半小時蒐集該手機號在互聯網遺留的信息，稍加整理後，騙子的模糊畫像開始漸漸變得明朗起來。

因為收集到的信息還不足以支撐警方落地抓人，所以我嘗試了一個從未試過的辦法——窮舉猜解李寧的身份證號。

這個技術是完全可以實現的，不過需要依靠足夠多的時間和信息碎片，眾所周知身份證號一共有4部分組成。

第一段號碼為地址碼，通過之前的調查，我知道李寧是瀋陽鐵西人，百度了一下瀋陽鐵西區的地址碼。

第二段號碼為出生日期，我在之前對他的調查中已經獲知是1991年7月25號。

第三段則是性別，男性奇數，女性偶數。

第四段則是核驗碼，核驗身份證是否有效，這需要前面17位數字計算得來，按照我這種數學渣是不可能完成的，所以依靠了一個身份證計算器。

經過上面的窮舉計算後，我得到了大概有一千多個身份證號，李寧的身份證就藏在這裏邊。

再通過網上的身份證核驗API接口批量核驗這一千個身份證中，叫李寧的男人。

我花了兩百塊錢去核驗上千條身份證，肉疼

一個小時後，結果反饋只有兩個身份證號是相符合的，第一個叫李寧的只有21歲，第二個則是28歲。

很明顯，第二個才是我要找的李寧。

隨後我再次利用API接口，查詢李寧的身份證號對應的大頭照，獲得了李寧的真實照片。

千萬別泄露自己的個人信息，不然身份證容易遭遇爆破

在得到目標的真實身份後已經是凌晨兩點，我顧不及洗澡，趕緊計劃了一下接下來的思路，把它寫在備忘錄裏，後便到頭大睡。

我備忘錄寫了很多秘密，這種秘密連女朋友都不能看的

第二天中午，通過李寧的手機號陸續挖掘到一部分的社交賬號，再次進行信息整理。

​

從李寧的年齡以及用常用ID的習慣來看，社工庫可能才是當前最有效且快捷獲得更多信息的辦法。

果不其然，通過2008年到2017年之間的社工庫查詢，我得到了李寧曾使用過的密碼，讓我笑出聲的是——他曾使用的密碼數字部分，正是他常用ID後邊的那串數字。

隨後我嘗試使用李寧的老密碼去登陸他的QQ號，我靠！居然登上了，還TM沒有設備鎖！

我趕緊進去他的QQ裏面翻，從文件收藏到聯繫人，翻了個底朝天，其中翻出了他跟一個叫“河邊路人”的QQ聯繫人聊天內容。

也得虧李寧QQ有漫遊記錄，看了大半天，我終於琢磨了河邊路人到底是幹嘛的。

他是專門給李寧提供技術支持的——假冒閒魚的網站就是由他搭建的，包括購買域名和所使用的網站空間。

河邊路人在這條黑色產業鏈中充當的角色叫：“船長”，負責洗錢分髒以及給漁夫提供技術支持。

而李寧則是漁夫——所負責的工作內容則是誘騙別人上當，在閒魚和轉轉這些二手平台發佈低價商品吸引受害者上鈎，再發送假冒的閒魚鏈接進行詐騙。

詐騙過來的這筆錢，是通過第三方的支付平台，例如京東，微信，攜程的一些接口。

説通俗點就是——我老舅從假閒魚網站上給的錢，實際上是充值了攜程點卡，河邊的路人利用這個攜程的點卡在專門的交易平台上出售，只需要給出一點手續費就行。

他倆的聊天記錄

也幸虧我沒順着Whois查詢那條線索追查李寧，不然絕對被牽着鼻子走——因為網站的搭建和維護都是由河邊路人去完成，而河邊路人購買的域名都是從商人手上買過來的。

也就是説，一開始的Whois查詢中的*冬梅，就是商人實名的信息。

他倆的聊天記錄

綜合以上，我再次整理信息，對這個河邊路人的船長開始調查，通過QQ聊天窗口的抓包獲得了對方的IP地址，位於江西省南昌市華南城建材市場附近，但不能排除他作了IP代理的防禦措施。

就在紅圈的範圍

又花了一天時間，基本上確認了河邊路人的模糊畫像，男，25歲，陳萬龍，江西南昌人。

再次整理目前所調查到的信息。

而此時，也就是2019年12月25號下午一點，向閒魚官方申請的披露信息發到了我大舅的手機號上。

通過閒魚披露的手機號，我進行了一些簡單的搜索，找到了此名賣家在2019年7月份發佈在豆瓣的帖子——出租閒魚號。

我粗略的掃了一眼，呵呵，這是一個傀儡，或者説這是一個詐騙犯同謀。

這騙局基本上一切明瞭，漁夫通過網上購買或租來別人的閒魚號，發佈低價商品吸引受害者上鈎，再通過偽造的閒魚鏈接實施詐騙，這一筆錢最終通過第三方平台進行洗白。

2019年12月26號，我將詐騙網站後台的證據進行收集，包括漁夫李寧，船長陳萬龍，出租賬號的賣家，一概提交給所在地區的警察朋友立案調查。

而我老舅，被我連哄帶騙，瞞着其他親戚偷偷去報了案，也算讓他長個記性吧。

至於出租閒魚號的那羣人，到底有沒有錯，站在個人角度來看，有錯。

但如果站在調查者的角度中看待，調查者是沒有立場的，我們要做的就是挖掘事件背後的真相，揪出案件背後的操控人。