文章总结： 本文复盘快手直播遭1.7万僵尸账号饱和攻击事件，揭示黑灰产利用协议逆向、自动化刷量及审核超时机制击穿防线。攻击导致服务中断及市值蒸发，暴露传统防御滞后。结论强调黑产已迈入自动化时代，平台需升级智能对抗体系，强化协议防护与实时熔断能力。
综合评分： 86
文章分类： 安全大事件,应急响应,漏洞分析,安全运营,威胁情报
1.7万“僵尸”账号的饱和攻击：复盘快手直播被黑产击穿的两小时
原创
hacking
Hacking黑白红
2025年12月24日 17:37
安徽
快手联合创始人、ceo 程一笑，1985年生，毕业于东北大学
本文字数：1947｜预计3分钟读完
数万违规直播同一秒涌入平台，将快手的系统防线瞬间击穿。这不是一次偶然的漏洞利用，而是针对整个直播行业安全软肋的教科书级攻击。
快手直播事件标志着黑灰产已经全面进入“自动化攻击”时代，而平台仍依赖传统人工防御模式，将难以抵御一轮轮的攻击。
文丨hacking
1
快手事件始末
2025年12月22日晚22时左右，当大量用户像往常一样滑动快手直播推荐页时，屏幕突然被大量色情，甚至血腥的违规内容。
这些内容并非零散出现，而是如潮水般从大量新注册或沉寂的僵尸账号中，在同一时间集体喷涌而出。
23日0点15分，快手无奈只能采取“无差别关停”整个直播频道的极端措施，才遏制了这场失控的蔓延。
事件时间线
12月22日18:00起：用户陆续报告直播异常
22:00-23:30：涉黄直播达高峰，多直播间人数破万
23日00:15左右：快手强制关闭直播功能，部分账号被封禁
直至 23 日凌晨 0 时 45 分左右，直播服务才逐步恢复正常，此次事故持续约 90 分钟。
受该事件影响，23 日港股开盘后，快手股价低开 3.30%，盘中跌幅一度扩大至 5.70%，市值蒸发约 164 亿港元。
快手 APP 直接冲到了苹果应用商店的免费榜第 2：
2
官方回应：网路攻击、谴责黑灰产
12月23日午间，快手（01024.HK）在港交所发布公告，总结3点：
1、公司快手应用的直播功能于2025年12月22日22:00左右遭到网路攻击，公司启动应预案，直播功能已逐步恢复正常服务。
2、快手应用的其他服务未受影响。公司始终严守合规底线，坚决反对任何违规内容及行为。
3、公司强烈谴责黑灰产的违法犯罪行为，已就上述事宜向公安机关报警并向相关部门报告。
#
公司将事件定性为“黑灰产网络攻击”。
但这场袭击在短短时间内造成的影响，远超一次普通的安全事件，被多家媒体称为 “中文互联网最大规模安全事故之一”。
公告中的黑灰产是啥？
黑灰产是 黑色产业 和 灰色产业 的统称，指的是利用技术手段进行违法犯罪活动的产业链。
图片来源：程序员鱼皮
#
3
攻击过程
第一步：战前准备——构建一支“僵尸军团”
任何大规模攻击都需要海量的执行单元。攻击者首先通过自动化“扫号”工具等手段，储备了大量可以使用的账号。
这些账号来源可能有两种：一是被盗取或购买的、已完成实名认证的“肉鸡”账号，它们拥有正常的开播权限，如同潜伏的士兵；二是攻击者通过黑产渠道获取大量手机号，甚至可能利用系统漏洞绕过或简化实名认证流程，批量注册的“新兵”。
据估算，此次参与攻击的账号规模可能高达1.7万至2万个，这批庞大的“僵尸军团”构成了后续所有攻击动作的“武器”基础。
第二步：发起冲锋——绕过前端，实现“静默”突防
攻击的发起方式并非模拟真人操作，而是采用了更底层的“协议级攻击”。
攻击者通过逆向工程，破解了快手直播的客户端与服务器之间的通信协议。这使他们能够编写出所谓的“协议机”，可以跳过所有App前端界面和交互，直接向服务器后端发送经过精心构造的“请求开播”数据包。
这种方式的可怕之处在于三点：
一是速度快，可实现毫秒级的海量账号并发开播；
二是隐蔽性强，没有常规的前端行为轨迹，平台难以通过常规的“异常用户行为”模型进行识别；
三是完全自动化，效率远超人工。这相当于攻击者掌握了直达指挥部的密电码，可以瞬间让所有“僵尸”账号进入战斗状态。
第三步：饱和打击——利用系统延迟，抢占“生存窗口”
当1.7万以上的直播间几乎在同一瞬间被非法开启时，攻击进入了最关键的“窗口期”争夺战。平台的安全审核机制通常是“异步”的：发现违规 → 判定 → 执行封禁。攻击者正是利用了这个时间差，发动了“饱和式冲击”。
海量的违规直播请求瞬间涌入，可能占满了平台的安全围栏请求通道和封禁接口。据分析，更致命的一击可能在于：攻击者利用平台为保障用户体验而设置的请求超时豁免机制。
具体来说，如果平台对直播流的内容安全检测因并发量过大而超时，系统可能会暂时“放行”这些内容，以免影响正常直播。攻击者正是通过精确计算并发量，有意制造审核系统的瞬时拥堵，使得大量违规内容因“审核超时”而被豁免，从而获得了宝贵的扩散时间，形成“封禁速度远不及新增速度”的恶性循环。
第四步：污染扩散——刷热与推荐，实现“降维”传播
最后一步，攻击者旨在将违规内容的破坏力最大化。他们利用自动化脚本，对已经开播的违规直播间进行刷量操作（如刷高观看人数、点赞和互动），人为制造出“热门”假象。
快手等平台的推荐算法通常基于热度进行分布式流量分发。一个新直播会先进入小流量池测试，如果互动数据好，则会被推送到更大的推荐池。攻击者正是利用了这一点，让大量违规直播间同时获得虚假热度，从而“骗过”算法，使其进入更大的推荐流量池，获得指数级增长的曝光。
这种操作不仅让违规内容被更多用户看到，更重要的是，它瞬间耗尽了平台的AI审核算力，使原本就因并发攻击而脆弱的审核系统彻底阻塞，导致原本就存在的“异步审核”时间差被无限放大，防御体系在关键时刻宣告失效。
这四步，从资源储备、技术突防，到战术利用、算法污染，展现的是一套高度组织化、技术化且深谙平台运行逻辑的自动化攻击链。它不再是小打小闹的漏洞利用，而是对平台核心风控与内容治理体系的“降维打击”。
4
攻击者是谁？
尽管快手已报警处理，但截至目前，并无具体组织或个人宣称对此次攻击负责。安全界普遍共识是，这是由高度组织化、技术化的黑灰产团伙发动的攻击。
他们的目标可能与以往不同：并非单纯的流量变现或诈骗，更像是为了 “污染生态”或“展示能力” ，试图通过瘫痪核心功能来造成最大的社会影响和商业损失。攻击被360安全专家称为 “史无前例的教科书攻击”
奇安信安全专家汪列军：
攻击核心原因在于黑灰产已全面迈入“自动化攻击”时代。黑客借助自动化工具批量注册、操控僵尸号，实现违规内容的秒级发布与扩散，这种规模化攻击完全超出人工审核的应对极限。
#
传统人工审核存在天然滞后性，面对每秒数十条的违规内容洪流，往往陷入“封禁不及新增”的被动局面，即便增派人手也难以填补攻防效率差。
#
#
#
360数字安全集团专家：
这极有可能是一场有组织、有预谋的外部黑客攻击。从技术路径来看，攻击者可能利用了直播推流接口的底层漏洞，绕过了平台的实名认证与内容审核链路。
#
这种大规模、高频次的黑产渗透，暴露出快手在应对极端安全攻击时的风控防御体系存在明显漏洞。
5
总结
此次事件为整个互联网行业敲响了警钟：当黑灰产已经迈入工业化、智能化时代时，平台的防御思想必须从“人工巡逻”升级为“智能对抗”，从“事后封禁”转变为“实时感知与熔断”。加固账号安全、强化协议层防护、优化弹性审核架构、构建异常流量实时对抗系统，已成为关乎平台生存的必修课
#
#
网络靶场思维导图
资料获取
回复“电子书”获取web渗透、CTF电子书:
回复“视频教程”获取渗透测试视频教程;
回复“内网书籍”获取内网学习书籍;
回复“CTF工具”获取渗透、CTF全套工具;
回复“内网渗透”；获取内网渗透资料;
回复“护网”；获取护网学习资料 ;
回复“python”,获取python视频教程；
回复“java”，获取Java视频教程;
回复“go”，获取go视频教程
渗透实战系列
▶【渗透实战系列】|53-记一次3万多赏金的XSS漏洞挖掘经历
▶【渗透实战系列】|52-记一次”91″站点渗透
▶【渗透实战系列】51|- 一次BC站点的GetShell过程
▶【渗透实战系列】50|- Log4j打点后与管理员斗智斗勇
▶【渗透实战系列】49|-实战某高校的一次挖矿病毒的应急处置
▶【渗透实战系列】|45-记一次渗透实战-代码审计到getshell
▶【渗透实战系列】|44-记一次授权渗透实战（过程曲折，Java getshell）
▶【渗透实战系列】|42-防范诈骗，记一次帮助粉丝渗透黑入某盘诈骗的实战
▶【渗透实战系列】|40-APP渗透测试步骤（环境、代理、抓包挖洞）
▶【渗透实战系列】|35-旁站信息泄露的dedecms站点渗透
▶【渗透实战系列】|33-App渗透 ,由sql注入、绕过人脸识别、成功登录APP
▶【渗透实战系列】|32-FOFA寻找漏洞，绕过杀软拿下目标站
▶【渗透实战系列】|30-从SQL注入渗透内网（渗透的本质就是信息搜集）
▶【渗透实战系列】|29-实战|对某勒索APP的Getshell
▶【渗透实战系列】|27-对钓鱼诈骗网站的渗透测试（成功获取管理员真实IP）
▶【渗透实战系列】|25一次从 APP 逆向到 Getshell 的过程
▶【渗透实战系列】|24-针对CMS的SQL注入漏洞的代码审计思路和方法
▶【渗透实战系列】|18-手动拿学校站点 得到上万人的信息（漏洞已提交）
▶【渗透实战系列】|17-巧用fofa对目标网站进行getshell
▶【渗透实战系列】|15-博彩网站（APP）渗透的常见切入点
▶【渗透实战系列】|12 -渗透实战， 被骗4000花呗背后的骗局
▶【渗透实战系列】|10 – 记某色X商城支付逻辑漏洞的白嫖（修改价格提交订单）
▶【渗透实战系列】|9-对境外网站开展的一次web渗透测试（非常详细，适合打战练手）
▶【渗透实战系列】|8-记一次渗透测试从XSS到Getshell过程（详细到无语）
▶【渗透实战系列】|1一次对跨境赌博类APP的渗透实战（getshell并获得全部数据）
长按-识别-关注
Hacking黑白红
一个专注信息安全技术的学习平台
点分享
点收藏
点点赞
点在看
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：Hacking黑白红 hacking《1.7万“僵尸”账号的饱和攻击：复盘快手直播被黑产击穿的两小时》