腾讯云上的刷量集群，和一个秒拨代理池One's Vibe（onesvibe.app）是一个收录 AI 做出来的在线产品、可以一键试用的作品展。我拿到一些数据，做了一点分析，草就了这份网站 10 月份遭遇的两个爬虫的追溯记录。10 月份，One's Vibe 五分之一的流量来自两个自动程序。一个整月都在新加坡的腾讯云服务器上运行，假装成老版本的 Chrome。另一个借了中国大陆 28,814 个家庭宽带地址，每个只用一次，全部砸在同一个搜索页上。下面是我们的日志能说清的：它们是谁，以及让我们付出了什么。每条结论都直接来自真实的日志，如果标了【推断】，则是根据日志做的解读。结论新加坡集群：真正造成了损害是谁。一组无头浏览器，跑在约 3,600 个腾讯云新加坡地址上，24 小时不停，至少跑了整整一个月，一共发了约 100 万次请求。用什么。它的浏览器标识自称 Chrome 103 到 133，TLS 握手用的却是 Chrome 131 以后才默认发送的算法，而且会执行 JS。所以实际在浏览的是一个新版无头 Chromium，前面有一个网关，用自己的连接把流量重新发出去。【推断】代价。它在我们的导航页之间点来点去，触发了浏览统计，所以整整一个月我们的浏览量都是虚高的。10 月 29–30 日，项目浏览一度达到每小时 350–480 次，平时只有 15–30 次。我们开始质询老版本 Chrome 后，不到一小时它就停了。大陆代理池：什么也没得到是谁。一个无人值守的批量任务，通过商用的“隧道代理”发请求，每个请求换一个出口 IP。背后的 IP 池最可能是秒拨宽带线路。【推断】用什么。它的 TLS 握手和新版 Chrome 一模一样，却从没加载过一次 Cloudflare 的质询脚本，也没加载过任何其他文件。所以它是冒充 Chrome 的 HTTP 客户端，不是真浏览器。具体是 curl_cffi、tls-client 还是类似的工具，我们只能猜。【推断】代价。什么也没得到。29,820 次请求全部在 Cloudflare 边缘被挡下。它盯着的搜索页一直不允许搜索引擎收录，所以拿它做黑帽 SEO 也行不通。第一部分：新加坡的刷量集群，跑了一个月Cloudflare 能往回查 30 天，这 30 天里它每天都在，所以实际开始的时间可能更早。它全天匀速运行，没有作息。10 月初每天几千次，12 日起加量，18 日达到约 19.6 万次的高峰，29–30 日两天又发了约 40 万次。整个月约 100 万次请求，占全站流量的 20%。

新加坡集群每天的请求数（daily.png）机器一个月里共用了约 3,600 个 IP，99% 属于腾讯云新加坡（AS132203），少量在阿里云国际、BytePlus 和华为云国际。上一周的地址约 80% 下一周还在：这是一批固定租用的服务器，不是代理池。而且越跑越忙，单个地址的请求数中位数从月初的 50 次涨到了月底的 228 次。浏览器标识16 条浏览器标识，全是 Windows 上的 Chrome，版本从 103 到 133，整个月比例都不变（131、116、133 出现的次数是其余的两倍）。其中两条带完整小版本号：106.0.5249.119 和 104.0.5112.81。同一份清单还从美国的 DigitalOcean、HostPapa 服务器来过约 15 万次，说明它出自某个公开工具或标识库，单凭它不能认定是同一伙人。露馅的地方它 99% 的连接协商的是 X25519MLKEM768，这是 Chrome 从 131 版开始默认启用的抗量子密钥交换，真的 Chrome 103 做不到。它 99% 的请求还走 HTTP/1.1，而真 Chrome 访问 Cloudflare 用的是 HTTP/2 或 HTTP/3。所以真实情况是：一个新版无头 Chromium 在浏览，前面的网关用自己的连接把流量重发出去，浏览器标识则从一份旧清单里随机抽。【推断】它做了什么每一轮从首页进来，把页头页脚的 9 个页面（首页、探索、合集、博客、关于、给开发者、墓园、隐私、登录）平均各访问一遍，再点进少量项目页。10 月 29 日起改成访问这些页面的中文版。它会执行 JS，会加载 Cloudflare 的检测脚本，也会触发我们的浏览统计。它最像商用的“刷流量”服务：卖给需要让网站统计里出现访客、或让某些页面看起来很热闹的人。也可能是某个平台在反复做网址安全检测，这是比较无害的解释。目前没有证据能定论。【推断】10 月 30 日 19:00（UTC），我们把 Chrome 100 到 139 放到了托管质询后面。那一小时它只发了约 100 次请求，之后再没出现。第二部分：28,814 个地址，一个页面从北京时间 10 月 29 日早上 7 点到 30 日晚上 6 点，有个程序带着查询参数请求了 /zh/explore 29,820 次，用了 28,814 个不同的地址。97% 的地址只用了一次，全部在中国大陆。

代理 IP 的地理分布（map.png）运营商移动 43%，电信 32%，联通 25%，大致是普通家庭宽带的比例。移动占比高不代表来自手机：移动的家庭宽带也叫“移动”。而手机网络通常是很多人共用一个出口地址，用插满手机卡的“猫池”凑不出 2.8 万个独立 IP。【推断】上班时间

每小时请求数，北京时间（hourly.png）它按北京时间白天干活：29 日早上 7 点开始，夜里几乎停下；30 日早上 8 点再起，下午一路加大并发，5 点达到每小时约 4,000 次，6 点以后就消失了。像是有人在工作日上班时间手动开关任务。【推断】请求长什么样8 条浏览器标识，全是当前版本 Chrome 153：Windows、Mac、ChromeOS、Linux 各配一个 Chrome 版和一个 Edge 版，其中 Windows Chrome 占 95%。这个比例跟着真实的市场份额走，专门生成请求头的库就是这么做的。每个请求都走 HTTP/2、TLS 1.3 和抗量子密钥交换，网络层和当前的 Chrome 一模一样。但这些地址一次也没请求过 Cloudflare 的质询脚本，也没请求过任何静态文件。它不执行 JS，所以不可能是真浏览器。整整一天半，每次都拿到 403，它照跑不误：没有人在看结果。有多分散28,814 个地址分布在 21,931 个 /24 网段、334 个城市；排名前十的城市加起来只占 17.6%。大多数网段只出现一两次。但也有几个网段扎堆，一个网段里用了几十个地址（济南电信两个，广东移动、长沙联通各一个），更像一个机房里的秒拨线路在同一个运营商地址池里轮换。【推断】公开的威胁情报几乎不认识这些地址：FireHOL level 1 和 level 2 一个都没有；IPsum 里有 6 个，各只上了一个名单；FireHOL 代理名单里有 32 个，集中在几个网段；GreyNoise 抽查 25 个，没有一个在扫描互联网。它们不是被入侵后到处攻击的机器，而是普通的家庭出口，被借用一下就还回去了。它想要什么我们的 Cloudflare 套餐看不到查询参数，所以下面都是推断。最可能是批量抓搜索结果：它只打搜索页，还不停加大并发，像是在遍历一份关键词清单。第二种可能是黑帽 SEO：往 ?q= 里塞词或链接，指望搜索结果页被收录。这在我们这里行不通，带参数的 /explore 页面一直是 noindex，robots.txt 也禁止抓取。第三种是有人在测代理池能不能连上境外网站。【推断】并排看：握手浏览器标识只是一行文字，谁都能写。TLS 握手和 HTTP 版本由底层网络库决定，很难伪造到前后一致。下面是 Cloudflare 记下的比例，最后一组是真人点“试用”时的数据，作为参照。来源自称HTTP 版本TLS 密钥交换判断新加坡集群Chrome 103–133HTTP/1.1 99%X25519MLKEM768 99%矛盾：老版本发不出这种密钥交换大陆代理池Chrome 153HTTP/2 100%X25519MLKEM768 100%一致，但从不执行 JSLightpandaLightpanda 1.0HTTP/2 100%X25519 100%如实报名的无头浏览器真人参照各种浏览器HTTP/3 51%、HTTP/2 45%X25519MLKEM768 98%参照组GooglebotGooglebotHTTP/1.1 99%X25519 99%参照：谷歌抓取器X25519MLKEM768 是一种抗量子的混合密钥交换，Chrome 131 起默认发送。真浏览器访问过一次 Cloudflare 的网站后会改用 HTTP/3（参照组里占 51%），两个爬虫都从没用过；不过大陆代理池每个地址只用一次，本来就没有机会。

这样的地址从哪来大陆代理池最符合商用“隧道代理”的产品形态：一个固定入口，每次请求换一个新出口，按次或按流量收费。根据公开研究和警方案例，这类产品背后有四种 IP 来源。来源怎么运作和我们的数据对得上吗秒拨机房服务器接家庭宽带，每隔几秒到几分钟重拨一次，从运营商拿新 IP。吻合：三大运营商都有，几乎不在黑名单上，几个网段扎堆。隧道代理 / 动态住宅代理卖给客户的成品：连一个入口，每次请求换出口，底层多半是秒拨。最吻合：一个地址一次请求、334 个城市、无人值守跑了一天半。App 和电视盒里的代理 SDK免费 App、杂牌电视盒、免费 VPN 用用户的设备替别人转发流量（911 S5、BadBox 2.0、IPIDEA）。部分吻合：这些网络的节点主要在境外，可能混入一些，但不是主体。猫池 / 物联网卡一台设备插几十张手机卡，用来接码、群控，有的也能当代理。不吻合：手机网络共用出口地址，凑不出 2.8 万个独立 IP。我们做了什么，以及给其他小网站的建议带参数的 /explore 一律质询。大陆代理池的请求全部被它挡下。此前已经在用。质询 Chrome 100 到 139，拦截 Lightpanda 无头浏览器；搜索引擎爬虫和 /api/ 不受影响。新加坡集群被它挡下。10 月 30 日上线。不要按 IP 封。秒拨和住宅地址几分钟后就会回到普通家庭手里，封了只会误伤真人；按 IP 限速也拦不住一个地址只用一次的代理池。拿握手核对浏览器标识。自称老版本 Chrome、却协商抗量子密钥交换的，一定在撒谎。我们的套餐不能在规则里用这一项，但光看浏览器标识的版本号就拦下了大部分。从源头清洗统计数据。我们的浏览统计以后会丢弃版本过时、或与浏览器标识对不上的上报，10 月的浏览数据会加注说明。盯住质询通过率。如果通过率突然下降、同时质询量激增，就是下一波爬虫来了的最早信号。附录：秒拨产业家庭宽带每次断线重连，运营商都会分配一个新 IP。秒拨就是把这件事做成工业：在租来的房子里摆满服务器，每台接几条宽带，每隔几秒到几分钟重拨一次。用过的地址回到运营商的地址池，再分给普通家庭。所以 IP 库把它们标成家庭宽带，黑名单查不到，封了还会误伤真人。谁在运营线路来自县级小运营商和营业厅违规给外省公司批量放号。2022 年江西查处了 6 家县级运营商，起因是几家公司在一个城市开了 300 多条宽带，专门做动态 IP 代理。机房设在 IP 资源多的县区，租民房、拉宽带，远程统一管理，配有门禁报警、远程摄像头，还有能远程重启、格式化服务器来销毁证据的智能插座。秒拨云平台按月出租能秒级换 IP 的服务器；代理品牌再把出口转卖给最终用户。买家拿去刷量、薅羊毛、抢票占库、撞库、当水军，或者给诈骗引流。被警方称为“全国首案”的云南楚雄案，主犯是一名在职民警。他在办理一起非法经营电信业务案时结识了嫌疑人，两人合伙做生意，2018 年用他人身份注册公司，还拿到了增值电信业务许可证。不到两年半，团伙在云南 16 个州市开了 150 个宽带账号、31 个机房，IP 池达到十万到百万量级。2020 年 9 月，包括行业“内鬼”在内的 34 人被抓获。多久，多大学术测量最早在 2017 年就看到了秒拨服务。2019 年，秒拨占黑产代理 IP 的 74.56%；2020 年占 91.43%，每天可用的地址超过 500 万个。2021 年全国专项治理关停非法宽带线路 1.3 万余条、账号 5,000 余个。2022 年，秒拨池转向 IPv6，覆盖 100 多个城市。CCS 2022 的一项研究收集了 908 万个住宅代理 IP，51% 在中国；抽样的中国地址里 68% 是秒拨云地址，91% 的寿命不到 10 天。2024 年起，产业逐渐转向被木马或 SDK 劫持、共享的普通家庭设备，一家厂商统计 2025 年这类地址占国内作恶 IP 的 57%。2026 年 1 月，Google 联合 Cloudflare 等打掉了 IPIDEA 代理网络，从中移除了数百万台设备。弱点秒拨并不是查不出来。中国的住宅代理 IP 集中在 40 个 /8 大网段；CCS 研究发现有 3,128 个 /24 网段，里面每个地址都当过代理。同一个 Cookie 突然出现在很多个 IP 后面，就是秒拨的信号，国内还有专门的专利。威胁猎人、IPinfo、Spur 这类商业情报能标出正在被用作代理的地址，更适合用来加风险分，而不是直接封。法律常见罪名是帮助信息网络犯罪活动罪（刑法第 287 条之二），最高三年有期徒刑，难点在于证明“明知”。最高法 2025 年的一个典型案例里，一名违规办卡的电信员工被判有期徒刑 8 个月、禁业 5 年。行政处罚则是警告、停网整顿两到三个月、注销宽带账号。方法与局限请求数据来自 Cloudflare 的 GraphQL 分析接口，它是抽样统计，所以数字是估计值。城市和运营商来自 ip2region，自治系统号来自 DB-IP。我们的套餐能看到 TLS 密钥交换算法、HTTP 版本和浏览器标识，但看不到 JA3/JA4 指纹、来源页、Accept 头和查询参数，所以关于意图的判断有限。秒拨产业的背景来自下面列出的公开警方通报、法院案例、厂商报告和学术研究；公开数据大多停在 2022 年，更新的数字是厂商自己报的。广告把朋友圈做成一本书

十几年的朋友圈，文字、原图、原视频，还有朋友们的点赞和评论，一条不少，都在手机里的这本书里。每天翻出那年今天；按住时间线，一拨就回到那一年。

iPhone、iPad 在 App Store 搜“追忆似水年华”，App 免费。安卓手机到 momentsregained.com 下载。

参考资料[1] Yunnan police case report (秒拨 IP pool)

https://www.secrss.com/articles/28950

[2] Banyuetan: the officer-run proxy ring

https://www.rmzxw.com.cn/c/2022-01-17/3029925.shtml

[3] Yang et al., An Extensive Study of Residential Proxies in China (CCS 2022)

https://arxiv.org/abs/2209.06056

[4] Yongan Online: proxy IPs used by fraud rings, 2020

https://www.secrss.com/articles/25000

[5] Yongan Online: IPv6 redial pools, 2022

https://www.szw.org.cn/20220615/57365.html

[6] Ministry of Public Security cyber bureau, 2022

https://www.sohu.com/a/548623191_116237

[7] Workers' Daily via China Daily, 2022

https://cn.chinadaily.com.cn/a/202205/19/WS6285f82ca3101c3ee7ad623c.html

[8] Legal Daily on the first redial-pool case

https://www.chinanews.com.cn/it/2022/01-20/9656909.shtml

[9] ThreatHunter 2025 annual report

https://www.threathunter.cn/research/2025-internet-black-grey-industry

[10] Supreme People's Court typical cases, 2025

https://www.court.gov.cn/zixun/xiangqing/472111.html

[11] Google disrupts IPIDEA (BleepingComputer)

https://www.bleepingcomputer.com/news/security/google-disrupts-ipidea-residential-proxy-networks-fueled-by-malware/

[12] Mi et al., Resident Evil (IEEE S&P 2019)

https://cse.buffalo.edu/faculty/xmi/files/resi_paper.pdf

[13] Patent CN114172677B: cookie–IP consistency

https://patents.google.com/patent/CN114172677B/zh

[14] curl_cffi (browser TLS impersonation)

https://github.com/lexiforest/curl_cffi

[15] Cloudflare: challenge solve rate

https://developers.cloudflare.com/cloudflare-challenges/reference/challenge-solve-rate/

原文（含可交互图表和英文版）：onesvibe.app/zh/blog/two-bots-one-month

不喜欢腾讯云上的刷量集群，和一个秒拨代理池One\x26#39;s Vibe（onesvibe.app）是一个收录 AI 做出来的