Posts for: #Startup

关于前些天给赞刷屏的小程序，可以先看看这几篇文章：

http://mp.weixin.qq.com/s/KwPaGg2az7h_3_rMVOuLFw http://mp.weixin.qq.com/s/5oucOA5KmjyUTRtb-N8y9w

我的一些感受是：

创业公司，尤其涉及 UGC，这种能力非常重要，请一定仔细看看想想。

Growth Hacker之防御术

作者：Stoned 来源：纯银的「pmdogs」Slack 社区

一

在犬校里见了不少被攻击的例子，有些我经历过，有些我也对其他人用过。其实很多时候，稍微了解一些，在设计与开发时，略加注意，提前预防，就能避免遭受类似的攻击。（以下内容针对App的攻防）

给大家讲具体的方法之前，需要先对大家普及一下一些基本的概念。

唯一标识（unique identifier）。我们会用一些唯一标识来区分不同的用户，常用的唯一标识有

• UserId，自己产品的用户id
• OpenId, 第三方产品的唯一用户id，比如微信的openid。
• IMEI，每个手机都会有不同的IMEI，所以IMEI可以用来标识设备是否相同。（苹果因为禁止获取IMEI，但仍有办法获得类似的标识）。ps：忽略山寨机，12年左右山寨机比较多，好多imei是相同的，但现在极少有imei相同的手机了。
• 手机号，通过验证的手机号。
• IP，ip不算是唯一标识，因为一个局域网的用户可以使用相同ip进行登录或者操作，但ip仍可作为一个有效的手段来区分是个体用户还是组团用户。
• token，因为http是无状态的，这意味着每个请求都是独立的，所以你不能因为用户的上一个请求通过登录了，下一个请求就不检验这个用户是否合法。因此会用token来代表用户的合法性。
• 签名，我们知道文件下载的时候会检验下载下来的文件签名是否与官方公布的文件签名是否一致，这样就可以避免文件被篡改或者下载不完整。同样的，我们也可以用签名来验证一个客户端api请求的合法性。

攻击（attack）。攻击一般分两种，非法攻击与合理攻击。两者的区别在于是否篡改app设计的功能行为。所以举个例子，合理攻击包括

• 组织1000个人，每人操作10个手机，定点（比如晚上9点）使用app的上传视频功能，结果服务器搞崩了几个小时。
• 通过抓包的方式，发现正常请求一个用户的信息的时候，会泄露这个人的密码等隐私信息（虽然没展现在界面上），所以你通过这个办法获取到了某个重要人物的密码，登录他的账号后，给他传了一些不可描述的视频…
• 人为上传敏感视频或内容…

一般可以进行合理攻击的原因都在于产品/接口设计缺陷，在设计实施时有意识想想这块问题，基本都能避免。所以后面我们主要针对非法攻击这块。

刚才给非法攻击下了一个定义，非法攻击是指篡改了app原本的功能行为的攻击行为，所以，既然与原本的app行为不一致，那很明显，这种攻击是指有人通过代码/工具模拟或篡改app行为，所以这种攻击一般具有以下特征：

• 高频
• 大量请求
• 集中，所有请求通过某一UserId或者某一IP或者某一IMEI发起。

既然我们知道了非法攻击的定义与特征，有什么办法可以避免呢？换言之，有什么办法可以避免别人模拟或篡改app行为呢？其实答案也很简单，那就是

• 不让其他人发现app行为背后的请求与逻辑
• 对每个用户请求采用签名验证，拒绝伪造请求。
• 如果还没办法做到前两项，那么还能根据非法攻击的特征进行预防。

待续…

最近很是刷了一阵 Instagram，觉得它的发现很有价值：

• 简单，不用思考，无脑下翻就可以；
• 反馈，看到好的内容就点赞，这个动作对用户（无论赞或被赞者）和厂商都很有价值（更精准地推荐，对内容及内容提供者的价值有更好的判断），赞也能够给用户心理满足感；
• 沉浸，尽可能不要有花哨的元素来干扰用户的探索；
• 优化，比较「聪明」，可以被优化，赞、关注、发表等动作都会对发现里的内容有调整；
• 丰富，有足够多的内容，因此虽然喜好有倾向，但也总是能有些新鲜事物来刺激眼球；

最早「小密圈」这个名字的产品是面向 team leader 的，那时 tony 评价是「有点戏谑自嘲的味道」，大家也觉得还行，就用了。后来也遇到了不小的阻力，一个典型是大辉说他没法给让助理用——「小蜜圈」，怎么说啊，尴尬……

转型成为社区/社群工具后，小且私密的圈子，这个名字似乎一下贴切起来了。这次的品牌升级，将「小密圈」改成了「知识星球」，APP、小程序、网站、商标、域名、公众号……一系列都要改，其实是件蛮折腾的事，新名字：

• 「知识」是我们服务的主体（虽然比起整个大社区，缩小了服务范畴，但可以更专注），教育、科技、内容……知识相关的，其实已经够大；
• 每位 KOL 创建自己的星球，成为星主（星爵？），吸引铁杆们成为星球上的居民，共同建设；
• 未来如果能打通不同的星球，成为知识星系……

算是一个新的开始，期待群星灿烂。

前些天小密圈停服后，有很多负面声音、负面影响，在这种情况下，怎样更聚焦？我反复思考了关于「专注」的问题。正好看到池老师推了一条：

一定要让团队保持专注。创业团队刚开始总会觉得无所不可为，往往会产生很多错觉，员工以为创业了终于可以搞搞人工智能，创始人以为有了巨大的空间可以多头并进了。其实最容易形成贪多嚼不烂的局面。就像你带着一个团队正在追狗，旁边飞来一只鸡，这时团队里有人说：等一下，我先去追会鸡。这时就有两种情况，一是为了追鸡，团队停下来说歇会，等你；另一种情况，等你追完鸡回来，发现狗已经跑出10.24公里了。追狗，别追鸡，除非公司具备了多条业务线的能力。保持专注，做好确定的一件或两件事，就够了。 回过头来，就是：