文章总结： 文章分析快手遭黑灰产群控攻击，推测通过撞库或绕过实名认证获取权限，利用海量违规直播压垮AI审核队列导致系统瘫痪。建议平台加强开播前人脸核验以提升攻击成本，并扩充审核算力应对自动化攻击，指出黑产已进入全自动化时代而传统防御存在滞后性。
综合评分： 88
文章分类： 应急响应,安全运营,漏洞分析,实战经验,WEB安全
用技术角度看快手被黑事件
原创
佚名
星宇Sec
2025年12月23日 14:17
山东
目前从接收的信息角度，只能从技术模拟来推演快手这次安全事件都遭遇了什么。
怎么直播？
结合现有信息，此次事件大概率是黑灰产利用已实名认证的快手账户集中开播引发的群体违规事件。
正常用户在快手开播，需完成注册、实名认证后才能开启直播。黑灰产获取开播权限的方式主要有两种：
- 简单手段：通过撞库、盗号等方式，直接获取他人已实名认证的用户账户；
- 复杂手段：借助第三方接码平台，批量注册虚拟手机号 / 小号，再利用平台漏洞绕过实名认证，从而获得开播权限 —— 这种方式需要对应漏洞配合才能实现。
无论哪种路径，核心都是获取快手已实名认证的账户权限，毕竟只有这样才能开播。事实上，其他平台的开播流程也大致类似。
快手的这次问题，很多人反馈出现了大量的新号开播，不知道这里是因为通过手机号注册了就能开播，根本就没做实名身份认证，还是说实名认证这里被技术绕过导致这些群控用户直接开播。
为什么关不掉？
正常情况下，各大平台都会针对低俗、色情、暴力、政治敏感等违规内容，搭建专门的视频审核体系。其标准流程是：先由智能 AI 进行初步审核，对判定准确、确认违规的内容直接封禁；将疑似违规或无法明确判定的内容，推送给人工客服进一步复核。
但视频流本身是实时传输的，很多平台的 AI 审核却属于 “异步处理”—— 简单说，就是会把某一时间段的直播流切割成短视频片段，再推给 AI 审核，审核结果反馈存在一定时间差。
在平台正常运行时，违规内容的出现频率较低，这套 “AI 初审 + 人工复核” 的工作流完全能应对。可一旦集中爆发大量涉黄等违规直播，原本投入的智能审核云资源就会面临并发不足的问题，这和遭遇 DDoS 攻击的逻辑类似：海量待审核内容在同一时间涌入 AI 审核队列，导致审核系统拥堵、处理滞后，无法第一时间向业务端反馈 “该直播间是否违规”。面对成百上千个同时开播的直播间，业务端根本无法快速定位具体违规账号，自然也就无从精准关闭。
即便业务端发现了这种集中违规的紧急情况，从察觉问题、紧急扩充审核通道，到发现违规直播间数量已完全失控，再到切换方案、上报高层决策 “关闭全平台直播间功能”，对于一家大型平台来说，一个小时左右的处理时间是完全合理的。
要知道，关闭直播间属于重大运营事故 —— 平台每分钟都在产生经济价值，这一决策并非安全团队能独立决定。事实上，安全团队在应急处置时，首要选择必然是想方设法精准封禁涉事账户，而非直接关停整个功能。
有没有别的方法
除了上述路径，我能想到的另一种可能性是 “劫流”—— 即通过劫持直播流的传输链路，替换违规内容。
先简单说下正常直播的完整流程：本地设备采集音视频信号后，会经过编码压缩、格式封装，再通过流媒体协议（如 RTMP）推送到平台服务器，随后经由 CDN（内容分发网络）分发，最终用户端通过拉流、解码，实现实时观看。整个过程中，用户与直播间的归属关联，通常依赖用户专属标识、密钥与推流地址的绑定校验。
而 “劫流” 主要有两种实现思路：
- 拦截推流环节：很多无人直播就是典型案例 —— 攻击者先获取目标账号的 RTMP 推流地址和密钥，再利用手机系统漏洞拦截 APP 的通信数据，将原始推流地址替换为自己控制的服务器地址，从而实现实时内容替换。不过这种方式高度依赖手机系统漏洞，识别难度不算高，一旦平台针对 “无人直播” 加强管控，通常会配套完善相应的安全防护策略。当然，快手此次攻击事件与这种情况的关联性应该不大，这里只是延伸科普。
- 劫持 CDN 分发环节：思路是直接攻击 CDN 运营商，通过 301/302 跳转指令，将原本的合规直播内容定向到含违规内容的服务器，实现实时替换。这种方式技术上存在可行性，但实施难度极大 —— 毕竟要攻破云厂商的 CDN 平台并非易事。不过如果是一些小公司，为了节省成本采用第三方系统自建 CDN，从技术层面来看，就可能存在这样的安全漏洞。
值得一提的是，早年互联网上有一个基于 Golang 开发的知名开源 CDN 系统，后来被某灰产团队接管，有意思的是，当时使用这个框架最多的，恰好也是灰产或站群相关团队。
群控攻击流程？
如果是灰黑产的群控攻击，那么真的是堪称“灰黑产史无前例的教科书攻击了”，毕竟以往灰黑产只是集中注册账户你关了我再继续发，从来没有过这么大规模的恶意攻击行为，尤其是它并没有产生足够等额的价值获得。
想要搞群控，必须经历：
- 事先准备大量的账户，现在的各平台的实名认证账户，最低要求都要验证手机号码，这里不管是通过自己写脚本通过合作接码平台、自己弄到大量的SIM卡自己建猫池去注册账户，还是通过社工库撞库，以目前的运营商手机壳实名制要求都是一笔不小的成本。
- 光有手机号注册还不行，各平台都有用户安全策略的，如果同一个地方忽然注册一堆账户肯定会被风控识别到，那么就需要准备大量的家用动态或静态IP。
- 几万个号又不可能直接用几万台手机，如果是人民币玩家用真机+物理手机卡直接开流量虽然不用解决风控问题，基站数据都从一个位置出来也一样会有问题通过IP代理这个事儿肯定是跑不脱的。
- 那如果是用云手机虚拟出来这些设备，那就需要完整的生成一套从操作系统、设备型号、IMEI、MAC….各种真机的指纹信息，很多提供安全策略的公司都能通过IMEI验证手机真伪的这里成本也不小。
- 部分平台不是注册了马上就能干啥，有一些是有新手期的，如果是这样还要批量执行“养号操作”，通过一些自动化能力，让这个用户在平台上实现一些随机性的浏览、点赞、真实留言互动，提高自己的“用户信用分”。
- 最终实施攻击，几万个账户同时发布直播，每个设备都要伪造不同的直播内容，就要先将违规的视频内容预先准备好，设定好账户与内容规则，然后再下发指令，几万个账户账户集体执行对控制端来说也有一定的压力，但是已经是这次攻击环节中，工作难度最轻的地方了。
既然是高端玩家，能用1万个账户推流也有可能用10万个账户去举报，如果想恶意的占满快手的审核通道，如果对方真的还有那么多实名账户，先对合法的直播间进行批量举报，恶意占满审核通道也不无可能。
当然不管怎样，几万个账户同时违规直播，占满“视频AI审核”的算力，让直播内容审核系统产生大量队列甚至瘫痪，一定是这次攻击实施的必经之路。
解决方案
抛开直播流劫持的情况，针对黑产利用账户认证漏洞批量开播的问题，最优方案是：不再仅凭用户过往的认证状态放行，而是在开播前额外增加一轮人脸识别核验，确认直播本人与实名认证信息一致。
这一操作相当于为每一场直播签发了一份 “电子责任凭证”—— 此后若直播间出现违法违规行为，只要并非平台技术漏洞所致，相关法律责任就应由用户自行承担。
而针对批量攻击导致审核资源被占满的问题，可从两方面应对：一是扩充审核算力储备，提升并发处理能力；二是提高开播准入门槛。若要求所有用户开播前必须完成实名认证信息与人脸的二次核验，将对黑产形成强有力的约束：此前黑产仅需获取手机号即可注册账号，如今不仅要非法获取公民身份证号，还需破解人脸核验技术 —— 这无疑会大幅提升其攻击成本和技术难度。
说说后果
昨天群内传的最多的就是明年1月1日起，新修订的《中华人民共和国治安管理处罚法》将正式施行，其中第八十条：
【制作、运输、复制、出售、出租淫秽物品；传播淫秽信息】制作、运输、复制、出售、出租淫秽的书刊、图片、影片、音像制品等淫秽物品或者利用信息网络、电话以及其他通讯工具传播淫秽信息的，处十日以上十五日以下拘留，可以并处五千元以下罚款；情节较轻的，处五日以下拘留或者一千元以上三千元以下罚款。
前款规定的淫秽物品或者淫秽信息中涉及未成年人的，从重处罚。
中华人民共和国治安管理处罚法
明确将利用信息网络、电话、其它通讯工具传播淫秽纳入治安范畴，在这个时间点上出现这样的安全问题，无疑是给快手沉重的一个大逼斗。
这件事发生后最难受的应该是那些在快手上做直播卖货的商家，想必以后他们要是在想搞矩阵、群控，可能就真的没有那么容易了。
最新消息
12月23日午间，快手（01024.HK）在港交所公告称，公司快手应用的直播功能于2025年12月22日22:00左右遭到网路攻击，公司已第一时间启动应预案，经全力处置与系统修复，快手应用的直播功能已逐步恢复正常服务。
公告称，快手应用的其他服务未受影响。公司始终严守合规底线，坚决反对任何违规内容及行为。公司强烈谴责黑灰产的违法犯罪行为，已就上述事宜向公安机关报警并向相关部门报告，并将视情况采取其他适当的法律补救措施，以保障本公司及其股东的权益。
12月22日晚间，有网友反映，快手直播间出现大量色情内容，随后大量直播间被封禁，23日0点之后，有网友发现快手APP的“直播”板块已无任何内容。
针对22日晚平台异常情况，快手回应称，当晚22时左右，平台遭到黑灰产攻击，目前已紧急处理修复中，平台坚决抵制违规内容，相应情况已上报给相关部门，并向公安机关报警。
快手为中国头部直播平台，11月19日，快手科技公布今年三季度财报显示，三季度快手总营收同比增长14.2%至356亿元，第三季度经营利润同比增长69.9%至53亿元，经调整净利润同比增长26.3%至50亿元。
目前，快手App已经升至苹果商店免费App下载量第二。截至午间收盘，快手跌3.6%报64.3港元/股。
此外，网络安全板块众股上涨。
据“新黄河”报道，该事件目击者描述称，这些违规直播间并非零星出现，而是呈现出明显的“自动化”特征：大量新注册的“小白号”或“僵尸账号”在同一时段集体开播，播放预制的非法视频。即使平台后台不断封禁单一账号，违规内容依然如潮水般爆发增长，审核系统疑似处于失灵状态。
奇安信安全专家汪列军表示，此次攻击之所以能造成大规模破坏，核心原因在于黑灰产已全面迈入“自动化攻击” 时代，而平台仍依赖传统人工防御模式。黑客借助自动化工具批量注册、操控僵尸号，实现违规内容的秒级发布与扩散，这种规模化攻击完全超出人工审核的应对极限。传统人工审核存在天然滞后性，面对每秒数十条的违规内容洪流，往往陷入“封禁不及新增” 的被动局面，即便增派人手也难以填补攻防效率差。
网友评，当增长放缓，安全投入可能被优先级后置，而黑产却在持续迭代。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：星宇Sec 佚名《用技术角度看快手被黑事件》