反爬经验与理论基础

更新日期: 2018-09-22阅读: 2.5k标签: 爬虫

一、反爬体系要做什么

完整的反爬体系有三大部分工作要做:感知识别、策略分析、监控封禁。

(一)感知识别:

  1. 数据支撑:爬虫指纹、设备指纹、风险UA、IP库等,不同端指纹的mapping等。
  2. 数据感知,什么人,通过什么方式,用什么爬虫,在什么时间,爬取了我们什么内容。

(二)策略分析:

  1. 事前策略:通过技术手段,在源头使攻击者无法爬取。
  2. 事后策略:指感知到有爬虫事件后,采取的封禁、验证码等组合策略。

(三)识别封禁:

  1. 离线识别:通过数据埋点监控,可离线分析爬虫情况,实时性差,但对业务无任何影响。
  2. 在线识别:在线检测服务,在业务关键节点,调用在线检测服务,实时感知爬虫情况。
  3. 离线阻断:离线分析后,根据策略筛选出要封禁的IP、UA、Session、userid等,调用封禁服务统一封禁。
  4. 在线阻断:在线检测到爬虫行为后,直接调用封禁服务阻断爬虫。


二、反爬策略有哪些

(一)事前策略:

  1. js计算:js添加简单的数学计算,要求浏览器计算结果之后,返回给后端校验计算结果,来识别是否是爬虫行为。
  2. js生成动态url:

    • 生成动态参数:访问页面,先返回js脚本,js生成一个新参数,加入原请求中,再访问,才可得到数据。
    • 生成动态地址:访问页面,先返回js脚本,js生成新接口地址,再访问新接口,才可得到数据。
  3. js生成动态页面:动态生成js标签
  4. 因为js对用户是可见的,所以要尽量提升攻击成本,要写难懂的js,比如大量使用eval和goto,比如做js混淆、js压缩等。

(二)事后策略:

  1. 阈值封锁

    1. IP维度:常见,但有两个缺陷:容易误伤普通用户,容易被绕过。
    2. Session或uid等维度:需要考虑不同业务的Session或uid逻辑,是否唯一稳定?是否非空?
    3. UA维度:误杀非常严重,除非能准确识别爬虫UA。
    4. 设备指纹:PC、APP、小程序
  2. 投毒:命中相应策略后,后端给前端反回一定比例的假数据。
  3. 验证码:图形、划动、短信、人脸、声纹。
  4. 加密:app参数加密,PC小程序前后端加密。前端加密需要做js混淆等处理。


三、反爬架构什么样

  1. 数据支撑平台:通过埋点、采集等方式接入各类维度的基础数据和第三方指纹sdk,封装成统一的数据输出形式。数据输出可以接口、db、log等不同形式。
  2. 数据分析平台;输入支撑数据,输出爬虫画像。
  3. 策略分析平台:输入爬虫画像,采取不同策略,输出策略分析结果。
  4. 上报阻断平台:输入策略分析结果,上报给运维,做阻断。


链接: https://www.fly63.com/article/detial/2470

web爬虫抓取技术的门道,对于网络爬虫技术的攻与防

从爬虫的攻防角度来讲,最简单的爬虫,是几乎所有服务端、客户端编程语言都支持的http请求,只要向目标页面的url发起一个http get请求,即可获得到浏览器加载这个页面时的完整html文档,这被我们称之为“同步页”。

大话爬虫的实践技巧

数据收集的一种是方式是通过上报API进行自身平台用户交互情况的捕获,还有一种手段是通过开发爬虫程序,爬取竞品平台的数据,后面就重点说下爬虫的应用场景和实践中会遇到的问题和反反爬虫的一些套路与技巧。

网络爬虫_基于各种语言的开源网络爬虫总汇

网络爬虫是一种按照一定的规则,自动地抓取万维网信息的程序或者脚本。是互联网爬虫,蜘蛛,数据采集器,网页解析器的汇总,下面介绍各语言实现网络爬虫的开源框架

爬虫最终杀手锏 --- PhantomJS 详解(附案例)

PhantomJS无界面的浏览器:认识PhantomJS、网站模拟登录豆瓣网、动态页面模拟点击(unittest -python测试模块)、执行JavaScript代码、模拟最新无界面浏览器...

什么是网络爬虫,网络爬虫有什么用?

网络爬虫在数据采集方面有好的优势,比如采集速度快,比人来操作可能要快一千倍一万倍都不止;方便将获取的数据进行相关的清洗加工以及储存工作;代码可重复使用,或者说是一劳永逸。

爬虫解决网页重定向问题

每个网站主页是网站资源的入口,当重定向发生在网站主页时,如果不能正确处理就很有可能会错失这整个网站的内容。 笔者编写的爬虫在爬取网页时遇到了三种重定向的情况。

爬虫 解决网页ip限制的问题的八种方法

之前由于公司项目需要,采集过google地图数据,还有一些大型网站数据。 有小部分网站的防范措施比较弱,可以伪装下IP,修改X-Forwarded-for(貌似这么拼。。。)即可绕过。ser agent 伪装和轮换 ,使用代理 ip 和轮换

到百度云加速,网页内容爬不到的快速解决

在爬网站时,发现网站做了百度云加速,每次访问首页时要求输入验证码,才能打开网站首页。经过分析网站,发现如果你拿到一个当期可用的Cooikes后,你就可以一直爬数据,且并不会触发百度验证输入

node.js主从分布式爬虫

node.js是一款基于google的V8引擎开发javascript运行环境。在高性能的V8引擎以及事件驱动的单线程异步非阻塞运行模型的支持下,node.js实现的web服务可以在没有Nginx的http服务器做反向代理的情况下实现很高的业务并发量。

使用Node.js爬取任意网页资源并输出高质量PDF文件到本地

本文适合无论是否有爬虫以及 Node.js 基础的朋友观看~如果你是一名技术人员,那么可以看我接下来的文章,否则,请直接移步到我的 github 仓库,直接看文档使用即可

点击更多...

内容以共享、参考、研究为目的,不存在任何商业目的。其版权属原作者所有,如有侵权或违规,请与小编联系!情况属实本人将予以删除!