批量的ICP备案域名
<!--kg-card-begin: markdown--><h2 id="">异常发现</h2>
<p>在360netlab的DNSMon系统中，最近发现一批非常<strong>奇特</strong>的域名。所谓奇特是指其域名格式较为统一，同时ICP备案的名称则为汉语中的 成语 + 网 构成，并且注册的公司主题都是太原的某些公司，不出意外，备案号都是 <strong>晋ICP备</strong> 开头的备案号。一批例子如下：</p>
<ul>
<li>rxnmwbj.cn	骑牛读汉书网	太原博睿创辉文化传媒有限公司	晋ICP备18012039号</li>
<li>actxpbe.cn	藏龙卧虎网	太原三开商贸有限公司	晋ICP备18012107号</li>
<li>frnzcpb.cn	鞠躬尽瘁网	太原三开商贸有限公司	晋ICP备18012107号</li>
<li>iowxpaf.cn	狡兔三窟网	太原市仁邦商贸有限公司	晋ICP备18012110号</li>
<li>tcmekjz.cn	走马观花网	太原三开商贸有限公司	晋ICP备18012107号</li>
<li>nmfztug.cn	放荡不羁网	太原市仁邦商贸有限公司	晋ICP备18012110号</li>
<li>hrjwmgb.cn	络绎不绝网	太原三开商贸有限公司	晋ICP备18012107号</li>
<li>coidkax.cn	江郎才尽网	太原市仁邦商贸有限公司	晋ICP备18012110号</li>
<li>dibyngo.cn	自相矛盾网	太原市仁邦商贸有限公司	晋ICP备18012110</li>
<li>yorcfdk.cn	霜凋夏緑网	太原市天际达商贸有限公司	晋ICP备18011972号</li>
<li>kgoazwi.cn	一马当先网	太原市仁邦商贸有限公司	晋ICP备18012110号</li>
<li>cthywqa.cn	骇人听闻网	太原市仁邦商贸有限公司	晋ICP备18012110号</li>
<li>jtfhigz.cn	人山人海网	太原市仁邦商贸有限公司	晋ICP备18012110号</li>
<li>qoczalt.cn	兢兢业业网	太原三开商贸有限公司	晋ICP备18012107号</li>
<li>cqwuzeh.cn	自相矛盾网	太原市仁邦商贸有限公司	晋ICP备18012110号</li>
<li>gqhfxwk.cn	藏龙卧虎网	太原三开商贸有限公司	晋ICP备18012107号</li>
<li>nyujdoa.cn	藏龙卧虎网	太原三开商贸有限公司	晋ICP备18012107号</li>
<li>kmnoigu.cn	毛骨悚然网	太原市仁邦商贸有限公司	晋ICP备18012110号</li>
<li>tecldku.cn	油干灯草尽网	太原博睿创辉文化传媒有限公司	晋ICP备18012039号</li>
</ul>
<p>看到这批数据之后，尤其是那些千奇百怪的网站名称以及较为固定的ICP备案主体，我认为这个有意思的现象并不是偶然，也许在现存的备案过程中存在某些漏洞能够让大规模的批量ICP备案成为可能。而网站ICP备案的目的是 <em>为了防止在网上从事非法的网站经营活动，打击不良互联网信息的传播[1]</em>。如果大规模的批量ICP备案成为可能，那么ICP备案的初衷也就无法实现了。</p>
<p>基于此，我对DNSMon中的备案数据进行了一些研究。有了本文。</p>
<h2 id="">数据统计</h2>
<p>首先我们对DNSMon中检测到的备案数据进行统计分析。</p>
<h3 id="">时间趋势</h3>
<p>《非经营性互联网信息服务备案管理办法》于2005年3月20日起施行[1]。我们统计了从2005年4月开始的每个月的备案域名数。如下图所示。<br>
<img src="__GHOST_URL__/content/images/2019/01/trends.png" alt="" loading="lazy"><br>
可以看出：2018年11月之后，ICP备案的审核数量急剧增长，一个月之内的新审核的域名数量就远远超过了之前每月的审核域名数量，甚至超过了2014年之前的全年的审核总量。<br>
这种急剧的增长显然不能用网络繁荣导致的自然增长来解释。需要进一步仔细研究。</p>
<h3 id="">分省统计</h3>
<p>考虑到我们观察的到的异常情况，有必要对各个省的ICP备案数量进行分省单独统计。如下图所示，TOP5的省份里面最多的是广东省的ICP备案数接近101万，也是唯一一个超过100万域名的省份。出乎意料的是山西省的备案数据超过了上海，浙江等经济强省。而之前观察到的异常备案数据就来自<strong>晋</strong>，这也许并非巧合。<br>
<img src="__GHOST_URL__/content/images/2019/01/province_distr.png" alt="" loading="lazy"><br>
进一步，我们统计了TOP8省份从2005年4月开始的每个月的ICP备案域名数。这次情况就比较明朗了。与总体的数据一致，山西省的ICP备案域名从从2018年11月开始飙增。2018年12月份达到了24.8万，2019年1月份的ICP备案域名数量（截止到2019年1月14日）已经达到了17.3万，远超其他省份的ICP备案数据数量。<br>
另外一个值得注意的一点是，虽然没有山西省的ICP备案增长快，但是湖北省的ICP备案数量从2018年9月份开始也有较快幅度的增长，同样在11、12月达到巅峰，并且在2019年1月仍在持续增长中。<br>
<img src="__GHOST_URL__/content/images/2019/01/province_trends.png" alt="" loading="lazy"></p>
<p>接下来我们看一下这种批量备案ICP域名的具体情况。</p>
<h3 id="">批量备案的整体情况</h3>
<p>经过研究，我们发现这种批量ICP备案的域名在注册时，使用的单位名称较为固定，而具体的域名则比较随机。我们以此为特征，对DNSMon中出现的域名进行了筛选。共筛选到大约74万批量备案的域名（截止到2019-01-14），约占总备案域名数的10%。涉及的省份除了山西绝对大头之外，还有湖北，江西，海南等其余20个省份。具体分布如下：<br>
<img src="__GHOST_URL__/content/images/2019/01/province_distr_v2_pie.png" alt="" loading="lazy"></p>
<h3 id="">批量备案的主体信息</h3>
<p>每个备案主体批量备案的域名数量（&gt;100）的分布如下：<br>
<img src="__GHOST_URL__/content/images/2019/01/entity_distr_pie.png" alt="" loading="lazy"><br>
可见，绝大多数的批量主体注册量在100～200之间，22%的实体备案的域名个数在500个以上，考虑到其总共备案的域名个数占备案域名数的6%以上，这个比例还是非常惊人的。</p>
<h3 id="whois">批量备案域名的whois</h3>
<p>在批量备案域名方面，我们好奇这些批量备案的域名是否来自做域名生意的米农。毕竟有备案的域名对米农来说是非常有竞争力的。经过我们的数据分析，可以确认这些批量ICP备案的域名的确来自米农。</p>
<p>出于说明问题的目的，我们仅挑选了一个我们看到的最大的域名注册邮箱进行分析。域名注册邮箱为baym@foxmail.com，总共注册了491177，备案了49459个域名，约占10.07%。</p>
<h4 id="">备案主体</h4>
<p>涉及的备案主体个数226个，其中TOP20的备案主体和备案域名个数如下表<br>
<img src="__GHOST_URL__/content/images/2019/01/baym@foxmail_entiry.png" alt="" loading="lazy"></p>
<h4 id="">备案省份</h4>
<p>baym@foxmail.com注册的域名备案的省份达11个，每个省所占的比例如下图：<br>
<img src="__GHOST_URL__/content/images/2019/01/baym@foxmail-2.png" alt="" loading="lazy"></p>
<h4 id="">备案时间</h4>
<p>最早的批量备案的审核时间可以追溯至2018年2月，最晚的在2019年1月。具体如下图所示：<br>
<img src="__GHOST_URL__/content/images/2019/01/baym@foxmail_date.png" alt="" loading="lazy"></p>
<h3 id="">批量备案域名的业务是什么</h3>
<p>通过DNSMon系统的分析，这些域名绝大多数都集中在导流，色情，广告，钓鱼等黑色和灰色业务上，具体业务分布如下图所示：</p>
<p>（这部分准确的数据需要跑mapreduce进行统计。。。）</p>
<h2 id="">结语</h2>
<p>问题到这里已经相对比较清楚了，正是由于ICP备案过程中存在的一些漏洞，导致某些操作者能够批量的通过ICP备案来注册域名。并且这种批量的备案是全国普遍性的存在，在山西省表现最为明显。经过批量ICP备案的域名后续的用途则甚为广泛。经过备案的域名的利用价值也必然要比未经备案的域名价值要高。正是由于该漏洞的存在也使得备案这个机制近乎名存实亡。我们希望相关机构能够迅速的补上这个漏洞，减少由此带来的风险。</p>
<h2 id="">参考资料</h2>
<p>【1】<a href="https://baike.so.com/doc/5327441-5562613.html">https://baike.so.com/doc/5327441-5562613.html</a></p>
<!--kg-card-end: markdown-->
异常发现


在360netlab的DNSMon系统中，最近发现一批非常奇特的域名。所谓奇特是指其域名格式较为统一，同时ICP备案的名称则为汉语中的 成语 + 网 构成，并且注册的公司主题都是太原的某些公司，不出意外，备案号都是 晋ICP备 开头的备案号。一批例子如下：


 * rxnmwbj.cn 骑牛读汉书网 太原博睿创辉文化传媒有限公司 晋ICP备18012039号
 * actxpbe.cn 藏龙卧虎网 太原三开商贸有限公司 晋ICP备18012107号
 * frnzcpb.cn 鞠躬尽瘁网 太原三开商贸有限公司 晋ICP备18012107号
 * iowxpaf.cn 狡兔三窟网 太原市仁邦商贸有限公司 晋ICP备18012110号
 * tcmekjz.cn 走马观花网 太原三开商贸有限公司 晋ICP备18012107号
 * nmfztug.cn 放荡不羁网 太原市仁邦商贸有限公司 晋ICP备18012110号
 * hrjwmgb.cn 络绎不绝网 太原三开商贸有限公司 晋ICP备18012107号
 * coidkax.cn 江郎才尽网 太原市仁邦商贸有限公司 晋ICP备18012110号
 * dibyngo.cn 自相矛盾网 太原市仁邦商贸有限公司 晋ICP备18012110
 * yorcfdk.cn 霜凋夏緑网 太原市天际达商贸有限公司 晋ICP备18011972号
 * kgoazwi.cn 一马当先网 太原市仁邦商贸有限公司 晋ICP备18012110号
 * cthywqa.cn 骇人听闻网 太原市仁邦商贸有限公司 晋ICP备18012110号
 * jtfhigz.cn 人山人海网 太原市仁邦商贸有限公司 晋ICP备18012110号
 * qoczalt.cn 兢兢业业网 太原三开商贸有限公司 晋ICP备18012107号
 * cqwuzeh.cn 自相矛盾网 太原市仁邦商贸有限公司 晋ICP备18012110号
 * gqhfxwk.cn 藏龙卧虎网 太原三开商贸有限公司 晋ICP备18012107号
 * nyujdoa.cn 藏龙卧虎网 太原三开商贸有限公司 晋ICP备18012107号
 * kmnoigu.cn 毛骨悚然网 太原市仁邦商贸有限公司 晋ICP备18012110号
 * tecldku.cn 油干灯草尽网 太原博睿创辉文化传媒有限公司 晋ICP备18012039号


看到这批数据之后，尤其是那些千奇百怪的网站名称以及较为固定的ICP备案主体，我认为这个有意思的现象并不是偶然，也许在现存的备案过程中存在某些漏洞能够让大规模的批量ICP备案成为可能。而网站ICP备案的目的是 为了防止在网上从事非法的网站经营活动，打击不良互联网信息的传播[1]。如果大规模的批量ICP备案成为可能，那么ICP备案的初衷也就无法实现了。


基于此，我对DNSMon中的备案数据进行了一些研究。有了本文。



数据统计


首先我们对DNSMon中检测到的备案数据进行统计分析。



时间趋势


《非经营性互联网信息服务备案管理办法》于2005年3月20日起施行[1]。我们统计了从2005年4月开始的每个月的备案域名数。如下图所示。



可以看出：2018年11月之后，ICP备案的审核数量急剧增长，一个月之内的新审核的域名数量就远远超过了之前每月的审核域名数量，甚至超过了2014年之前的全年的审核总量。

这种急剧的增长显然不能用网络繁荣导致的自然增长来解释。需要进一步仔细研究。



分省统计


考虑到我们观察的到的异常情况，有必要对各个省的ICP备案数量进行分省单独统计。如下图所示，TOP5的省份里面最多的是广东省的ICP备案数接近101万，也是唯一一个超过100万域名的省份。出乎意料的是山西省的备案数据超过了上海，浙江等经济强省。而之前观察到的异常备案数据就来自晋，这也许并非巧合。



进一步，我们统计了TOP8省份从2005年4月开始的每个月的ICP备案域名数。这次情况就比较明朗了。与总体的数据一致，山西省的ICP备案域名从从2018年11月开始飙增。2018年12月份达到了24.8万，2019年1月份的ICP备案域名数量（截止到2019年1月14日）已经达到了17.3万，远超其他省份的ICP备案数据数量。

另外一个值得注意的一点是，虽然没有山西省的ICP备案增长快，但是湖北省的ICP备案数量从2018年9月份开始也有较快幅度的增长，同样在11、12月达到巅峰，并且在2019年1月仍在持续增长中。




接下来我们看一下这种批量备案ICP域名的具体情况。



批量备案的整体情况


经过研究，我们发现这种批量ICP备案的域名在注册时，使用的单位名称较为固定，而具体的域名则比较随机。我们以此为特征，对DNSMon中出现的域名进行了筛选。共筛选到大约74万批量备案的域名（截止到2019-01-14），约占总备案域名数的10%。涉及的省份除了山西绝对大头之外，还有湖北，江西，海南等其余20个省份。具体分布如下：





批量备案的主体信息


每个备案主体批量备案的域名数量（>100）的分布如下：



可见，绝大多数的批量主体注册量在100～200之间，22%的实体备案的域名个数在500个以上，考虑到其总共备案的域名个数占备案域名数的6%以上，这个比例还是非常惊人的。



批量备案域名的whois


在批量备案域名方面，我们好奇这些批量备案的域名是否来自做域名生意的米农。毕竟有备案的域名对米农来说是非常有竞争力的。经过我们的数据分析，可以确认这些批量ICP备案的域名的确来自米农。


出于说明问题的目的，我们仅挑选了一个我们看到的最大的域名注册邮箱进行分析。域名注册邮箱为baym@foxmail.com，总共注册了491177，备案了49459个域名，约占10.07%。


备案主体


涉及的备案主体个数226个，其中TOP20的备案主体和备案域名个数如下表




备案省份


baym@foxmail.com注册的域名备案的省份达11个，每个省所占的比例如下图：




备案时间


最早的批量备案的审核时间可以追溯至2018年2月，最晚的在2019年1月。具体如下图所示：





批量备案域名的业务是什么


通过DNSMon系统的分析，这些域名绝大多数都集中在导流，色情，广告，钓鱼等黑色和灰色业务上，具体业务分布如下图所示：


（这部分准确的数据需要跑mapreduce进行统计。。。）



结语


问题到这里已经相对比较清楚了，正是由于ICP备案过程中存在的一些漏洞，导致某些操作者能够批量的通过ICP备案来注册域名。并且这种批量的备案是全国普遍性的存在，在山西省表现最为明显。经过批量ICP备案的域名后续的用途则甚为广泛。经过备案的域名的利用价值也必然要比未经备案的域名价值要高。正是由于该漏洞的存在也使得备案这个机制近乎名存实亡。我们希望相关机构能够迅速的补上这个漏洞，减少由此带来的风险。



参考资料


【1】https://baike.so.com/doc/5327441-5562613.html

{"version":"0.3.1","markups":[],"atoms":[],"cards":[["markdown",{"cardName":"card-markdown","markdown":"##异常发现\n在360netlab的DNSMon系统中，最近发现一批非常**奇特**的域名。所谓奇特是指其域名格式较为统一，同时ICP备案的名称则为汉语中的 成语 + 网 构成，并且注册的公司主题都是太原的某些公司，不出意外，备案号都是 **晋ICP备** 开头的备案号。一批例子如下：\n\n* rxnmwbj.cn\t骑牛读汉书网\t太原博睿创辉文化传媒有限公司\t晋ICP备18012039号\n* actxpbe.cn\t藏龙卧虎网\t太原三开商贸有限公司\t晋ICP备18012107号\n* frnzcpb.cn\t鞠躬尽瘁网\t太原三开商贸有限公司\t晋ICP备18012107号\n* iowxpaf.cn\t狡兔三窟网\t太原市仁邦商贸有限公司\t晋ICP备18012110号\n* tcmekjz.cn\t走马观花网\t太原三开商贸有限公司\t晋ICP备18012107号\n* nmfztug.cn\t放荡不羁网\t太原市仁邦商贸有限公司\t晋ICP备18012110号\n* hrjwmgb.cn\t络绎不绝网\t太原三开商贸有限公司\t晋ICP备18012107号\n* coidkax.cn\t江郎才尽网\t太原市仁邦商贸有限公司\t晋ICP备18012110号\n* dibyngo.cn\t自相矛盾网\t太原市仁邦商贸有限公司\t晋ICP备18012110\n* yorcfdk.cn\t霜凋夏緑网\t太原市天际达商贸有限公司\t晋ICP备18011972号\n* kgoazwi.cn\t一马当先网\t太原市仁邦商贸有限公司\t晋ICP备18012110号\n* cthywqa.cn\t骇人听闻网\t太原市仁邦商贸有限公司\t晋ICP备18012110号\n* jtfhigz.cn\t人山人海网\t太原市仁邦商贸有限公司\t晋ICP备18012110号\n* qoczalt.cn\t兢兢业业网\t太原三开商贸有限公司\t晋ICP备18012107号\n* cqwuzeh.cn\t自相矛盾网\t太原市仁邦商贸有限公司\t晋ICP备18012110号\n* gqhfxwk.cn\t藏龙卧虎网\t太原三开商贸有限公司\t晋ICP备18012107号\n* nyujdoa.cn\t藏龙卧虎网\t太原三开商贸有限公司\t晋ICP备18012107号\n* kmnoigu.cn\t毛骨悚然网\t太原市仁邦商贸有限公司\t晋ICP备18012110号\n* tecldku.cn\t油干灯草尽网\t太原博睿创辉文化传媒有限公司\t晋ICP备18012039号\n\n看到这批数据之后，尤其是那些千奇百怪的网站名称以及较为固定的ICP备案主体，我认为这个有意思的现象并不是偶然，也许在现存的备案过程中存在某些漏洞能够让大规模的批量ICP备案成为可能。而网站ICP备案的目的是 *为了防止在网上从事非法的网站经营活动，打击不良互联网信息的传播[1]*。如果大规模的批量ICP备案成为可能，那么ICP备案的初衷也就无法实现了。\n\n基于此，我对DNSMon中的备案数据进行了一些研究。有了本文。\n\n##数据统计\n首先我们对DNSMon中检测到的备案数据进行统计分析。\n###时间趋势\n《非经营性互联网信息服务备案管理办法》于2005年3月20日起施行[1]。我们统计了从2005年4月开始的每个月的备案域名数。如下图所示。\n![](__GHOST_URL__/content/images/2019/01/trends.png)\n可以看出：2018年11月之后，ICP备案的审核数量急剧增长，一个月之内的新审核的域名数量就远远超过了之前每月的审核域名数量，甚至超过了2014年之前的全年的审核总量。\n这种急剧的增长显然不能用网络繁荣导致的自然增长来解释。需要进一步仔细研究。\n###分省统计\n考虑到我们观察的到的异常情况，有必要对各个省的ICP备案数量进行分省单独统计。如下图所示，TOP5的省份里面最多的是广东省的ICP备案数接近101万，也是唯一一个超过100万域名的省份。出乎意料的是山西省的备案数据超过了上海，浙江等经济强省。而之前观察到的异常备案数据就来自**晋**，这也许并非巧合。\n![](__GHOST_URL__/content/images/2019/01/province_distr.png)\n进一步，我们统计了TOP8省份从2005年4月开始的每个月的ICP备案域名数。这次情况就比较明朗了。与总体的数据一致，山西省的ICP备案域名从从2018年11月开始飙增。2018年12月份达到了24.8万，2019年1月份的ICP备案域名数量（截止到2019年1月14日）已经达到了17.3万，远超其他省份的ICP备案数据数量。\n另外一个值得注意的一点是，虽然没有山西省的ICP备案增长快，但是湖北省的ICP备案数量从2018年9月份开始也有较快幅度的增长，同样在11、12月达到巅峰，并且在2019年1月仍在持续增长中。\n![](__GHOST_URL__/content/images/2019/01/province_trends.png)\n\n接下来我们看一下这种批量备案ICP域名的具体情况。\n\n###批量备案的整体情况\n经过研究，我们发现这种批量ICP备案的域名在注册时，使用的单位名称较为固定，而具体的域名则比较随机。我们以此为特征，对DNSMon中出现的域名进行了筛选。共筛选到大约74万批量备案的域名（截止到2019-01-14），约占总备案域名数的10%。涉及的省份除了山西绝对大头之外，还有湖北，江西，海南等其余20个省份。具体分布如下：\n![](__GHOST_URL__/content/images/2019/01/province_distr_v2_pie.png)\n###批量备案的主体信息\n每个备案主体批量备案的域名数量（>100）的分布如下：\n![](__GHOST_URL__/content/images/2019/01/entity_distr_pie.png)\n可见，绝大多数的批量主体注册量在100～200之间，22%的实体备案的域名个数在500个以上，考虑到其总共备案的域名个数占备案域名数的6%以上，这个比例还是非常惊人的。\n###批量备案域名的whois\n在批量备案域名方面，我们好奇这些批量备案的域名是否来自做域名生意的米农。毕竟有备案的域名对米农来说是非常有竞争力的。经过我们的数据分析，可以确认这些批量ICP备案的域名的确来自米农。\n\n出于说明问题的目的，我们仅挑选了一个我们看到的最大的域名注册邮箱进行分析。域名注册邮箱为baym@foxmail.com，总共注册了491177，备案了49459个域名，约占10.07%。\n####备案主体\n涉及的备案主体个数226个，其中TOP20的备案主体和备案域名个数如下表\n![](__GHOST_URL__/content/images/2019/01/baym@foxmail_entiry.png)\n####备案省份\nbaym@foxmail.com注册的域名备案的省份达11个，每个省所占的比例如下图：\n![](__GHOST_URL__/content/images/2019/01/baym@foxmail-2.png)\n####备案时间\n最早的批量备案的审核时间可以追溯至2018年2月，最晚的在2019年1月。具体如下图所示：\n![](__GHOST_URL__/content/images/2019/01/baym@foxmail_date.png)\n\n###批量备案域名的业务是什么\n通过DNSMon系统的分析，这些域名绝大多数都集中在导流，色情，广告，钓鱼等黑色和灰色业务上，具体业务分布如下图所示：\n\n（这部分准确的数据需要跑mapreduce进行统计。。。）\n\n##结语\n问题到这里已经相对比较清楚了，正是由于ICP备案过程中存在的一些漏洞，导致某些操作者能够批量的通过ICP备案来注册域名。并且这种批量的备案是全国普遍性的存在，在山西省表现最为明显。经过批量ICP备案的域名后续的用途则甚为广泛。经过备案的域名的利用价值也必然要比未经备案的域名价值要高。正是由于该漏洞的存在也使得备案这个机制近乎名存实亡。我们希望相关机构能够迅速的补上这个漏洞，减少由此带来的风险。\n##参考资料\n【1】https://baike.so.com/doc/5327441-5562613.html"}]],"sections":[[10,0]],"ghostVersion":"3.0"}