吸血客户端？还是报复社会？

[Lostmonkey]

如题，楼主的 qb 这几天超额上传了大概 1TB ，下载者用的是 anacrolix 的某个特殊版本，qb 读不出版本号。] 上网搜了搜，发现已有不少人中招。

Transmission 显示的客户端是-GT0003- qb 直接显示 github 仓库连接。

参看： https://github.com/anacrolix/torrent/issues/889 https://bangumi.tv/group/topic/392275

看了下帖子，自己追了一下，来源是联通 169 网络，结合前段时间联通大规模查封 PCDN ，不怀疑是有人肆意打击报复，试图拉普通用户下水云云，还是有什么别的隐情？它已经不是单纯的吸血了，它的下载进度一直是 0%，根本不可能喂满。

顺便贴一个 qb 的屏蔽脚本： https://github.com/Simple-Tracker/qBittorrent-ClientBlocker 故发此贴

反吸血脚本：
https://github.com/Ghost-chu/PeerBanHelper
https://github.com/Simple-Tracker/qBittorrent-ClientBlocker

热心网友维护的可疑客户端列表： https://docs.qq.com/doc/DQnJBTGJjSFZBR2JW

已知可疑 ID：XL0018,XF9999,XFOO00,GT0002,TR2940,GT0003,DT0001,HP0001

进一步讨论可移步： https://www.v2ex.com/t/1029736

[czfy]

给 qb enhanced edition 提个 issue ，看下次会不会考虑把这条规则加进去？

[Lostmonkey]

@czfy 不太懂提请 qb ee 的屏蔽规则需要什么条件，感觉这个影响目前还不明确，估计也加不了，因为客户端本身没有问题，下载者好像用的是这个客户端的某个 demo 版本魔改。不过，要屏蔽他只要动动手指就行了，这不是什么大问题。真正让我感到无语，愤怒和不解的是他这么做的理由。

[czfy]

如果识别出来客户端都是 -GT0003-，那 ee 在客户端层面增加这条屏蔽规则应该具备可行性，至于必要性，我觉得就是开发者来判断了

[Lostmonkey]

@czfy 只有 Transmission 显示-GT0003-，qb 是直接显示 anacrolix 的仓库。我没用过 anacrolix 不知道正常版本是不是也识别出仓库，如果否就好说，如果是，qb 只能整个连带 anacrolix 的正常版本屏蔽掉，这是头痛砍头的做法。不管怎么说，晚些时候我会去提 issue 试试看。

[Track13]

昨天也是，看完一集动画回来发现传了 2 个 g 。还好我上传限时 1m

[Puteulanus]

我前几天也遇到了，查了下，bangumi 上有个贴好多人都中招了
https://bangumi.tv/group/topic/392275

[ronman]

@Track13 那你这也太不厚道了

[deorth]

az ，容我改下我的 aria2 反吸血脚本

[dfdd1811]

我也遇到了，自己做的种子放博客上的，突然传了 200 多 g ，那天正好上班，下班才发现，东西 8g ，我眼见着那哥们把我速度拉满传了 10 分钟进度还是 14%，显示客户端也是 github 啥啥的，ip 还是内蒙的

[Track13]

@ronman 我这宽带上传最大 2m ，我限 1m 也没什么问题吧，我下载限的 2m 。又不是下完就跑。

[ronman]

@Track13 哈哈对不起，我以为你限制的事时间😂抱歉 冤枉你了

[Lostmonkey]

@Track13
@dfdd1811
@czfy 我去 qb ee 看了下，已经有人提这个事，不过开发者还没回复。

目前已知的 Ip 来源有大庆，内蒙，台湾等。本来我以为是针对 BD 压制组的，现在看来有个人种子中招的话，对方应该是无差别吸公网流量。只是压制组的种子比较集中，所以发现的较早。目前阶段除了手动封禁没有别的好办法了，希望大家做种时注意一下异常流量。

[czfy]

是指这个 issue 吗？
https://github.com/c0re100/qBittorrent-Enhanced-Edition/issues/530

[rulagiti]

真是闲的

[dubidu]

这些个 ip 不是有人考证，好像是迅雷离线下载服务器的么。百度、迅雷等网盘的离线下载服务器都很奇怪。

[ExplodingFKL]

参考这个

https://github.com/anacrolix/torrent/discussions/891

大部分都是家宽，看起来像是恶意刷流量，和客户端无关，或许是 golang 的版本最好魔改？

[xPKK1qofAr6RR09O]

歪个楼。如果把这个事情理解为：
版权方为了打击盗版制作和分享者，让他们付出了一点小小的流量代价，就从“报复社会”变成正义之举了。

[genesislive]

今天也遇到了，屏蔽 IP 屏蔽不过来。网上是说玩 PCDN 被打击的那些人搞的鬼

[Lostmonkey]

@czfy 是的，好像也有人已经写了特定的屏蔽脚本了。就在我帖子里发的那个链接。

[DefoliationM]

-GT0003- 是百度云离线下载，吸血很严重，我专门写了个程序给 transmission 拉黑这些客户端，拉黑的同时顺便直接用 iptables 把这些 ip 的流量给 drop 了。

[DefoliationM]

@DefoliationM

这是最近几天自动拉黑的 ip ，ip 段其实都很清楚

Autogen[-GT0003-]:1.180.24.219-1.180.24.219
Autogen[-GT0003-]:1.180.24.227-1.180.24.227
Autogen[-GT0003-]:1.180.24.87-1.180.24.87
Autogen[-GT0003-]:1.180.25.203-1.180.25.203
Autogen[-GT0003-]:1.180.25.97-1.180.25.97
Autogen[-GT0003-]:123.184.152.39-123.184.152.39
Autogen[-GT0003-]:123.184.152.96-123.184.152.96
Autogen[Xfplay 9.9.99]:124.155.186.252-124.155.186.252
Autogen[-GT0003-]:218.7.138.17-218.7.138.17
Autogen[-GT0003-]:218.7.138.18-218.7.138.18
Autogen[-GT0003-]:218.7.138.21-218.7.138.21
Autogen[-GT0003-]:218.7.138.24-218.7.138.24
Autogen[-GT0003-]:218.7.138.25-218.7.138.25
Autogen[-GT0003-]:218.7.138.27-218.7.138.27
Autogen[-GT0003-]:218.7.138.28-218.7.138.28
Autogen[-GT0003-]:221.203.6.48-221.203.6.48
Autogen[-GT0003-]:221.203.6.49-221.203.6.49
Autogen[-GT0003-]:221.203.6.50-221.203.6.50
Autogen[-GT0003-]:221.203.6.52-221.203.6.52
Autogen[-GT0003-]:221.203.6.56-221.203.6.56
Autogen[-GT0003-]:221.203.6.58-221.203.6.58
Autogen[-GT0003-]:221.203.6.60-221.203.6.60
Autogen[-GT0003-]:59.47.225.164-59.47.225.164
Autogen[-GT0003-]:59.47.225.219-59.47.225.219
Autogen[-GT0003-]:59.47.225.237-59.47.225.237
Autogen[-GT0003-]:59.47.225.245-59.47.225.245

[a3000xgyj]

@Lostmonkey 比特彗星没影响？我好像也没看见偷流量的 我只是比特彗星屏蔽了迅雷吸血

[SUP7R9]

@deorth #8
时隔一周多，挖下；

想求 D 大你个人制作 aria2 反吸血脚本在 Github 上仓库地址，近期一直在找实用的反吸血脚本，才翻到此帖，继而看到 D 大你的评论，麻烦回复指个路呗

[Lostmonkey]

更新一下以供大家参考：
反吸血脚本：
https://github.com/Ghost-chu/PeerBanHelper
https://github.com/Simple-Tracker/qBittorrent-ClientBlocker

潜在吸血者的新情况： https://github.com/anacrolix/torrent/discussions/891#discussioncomment-8453792
层主报告称，同类型的客户端被命名为 trafficConsume ，开发者回复说：这证明其是一场攻击，而非 bug 。
此外，楼主注意到被利用的 anacrolix 客户端现在会回报下载进度大于 0%，但不确定其是否会变化。

[Lostmonkey]

@a3000xgyj 不太清楚比特彗星的情况，得多多观察。

[Lostmonkey]

新情况：
https://github.com/anacrolix/torrent/discussions/891#discussioncomment-8564682

kierankihn:
I also found that these clients start reporting progress now. When their progress is close to 100%, they disconnect and report progress as a smaller number, and then continue downloading the pieces they have already downloaded.

我也发现了这些客户端会汇报进度，当他们快要下载完成时，他们会断开连接，之后将进度汇报为一个较小的数字，接着下载那些他们已经下载过的块

[squarezhong]

我这几天 qb 基本是一直维持 40-50 MB/s 的上传速度在跑，我还以为下载用户有那么多，然后一看大部分是恶意吸血客户端，无限请求上传，比迅雷还过分。

[czfy]

https://imgur.com/va17t7w.png

更新一下更明确的结论 @DefoliationM @ExplodingFKL @Lostmonkey @Puteulanus @SUP7R9 @Track13 @a3000xgyj @deorth @dfdd1811 @ronman @rulagiti @dubidu @genesislive @squarezhong

可以 100% 确认是 PCDN 用户恶意利用 bt 来增加自己的下载流量。所有在 nyaa 上发布的种子都有可能受到这类攻击

https://github.com/anacrolix/torrent/discussions/891#discussioncomment-8763526
https://github.com/anacrolix/torrent/discussions/891#discussioncomment-8810897

[czfy]

qBittorrent Enhanced Edition 也在默认客户端黑名单里做了更新，提 issue 还是有用的

https://github.com/c0re100/qBittorrent-Enhanced-Edition/releases/tag/release-4.6.4.10

[Track13]

又发现一个 Taipei torrent dev 。

[Lostmonkey]

赛博猫鼠游戏= =

[czfy]

https://github.com/anacrolix/torrent/discussions/891

这个 issue 目前还在持续更新中，最新情况是可能已经开始伪装成 qBittorrent Enhanced 客户端
可以确认攻击方的杂种也在一直关注各个地方的讨论