网络攻击实例：利用密码找回漏洞破解支付宝账号过程；隐私安全不容忽视
网络攻击实例：利用密码找回漏洞破解支付宝账号过程；隐私安全不容忽视
围观4334次
编辑日期： 字体：
今天你out了吗？关注本站，一定不会让你错过 热门解读！
请记住本站域名 (百度搜索“趣分享”即可)
写在前面：现在网络安全日益重要，尤其是个人信息保护；也许一个疏忽就被攻击
此漏洞已经向阿里报告，他们速度也很迅速，马上修改了漏洞，增加了校验过程，却回复说漏洞不存在， 鄙视；太丢大厂家脸面了！
—————————————————————
现在个人信息泄露很常见，经常有电话，邮箱等信息泄露；黑客们如何利用这些信息了？如果只是发发垃圾邮件，垃圾短信，那你就大意了
如下看如何利用泄露信息来破解支付宝，此案例需要一定的偶然性，就是必须要知道对方的手机号码和常用的银行卡号
网络攻击实例：利用密码找回漏洞破解支付宝账号过程；说明隐私安全不容忽视
攻击背景：
一个90后网友网上爆料，说被一个假冒空姐的人在淘宝上骗了几千；通过微信沟通联系，知道其微博账号；但是在交易的时候，对方要求对方不走淘宝交易，而是直接转账到他银行卡，
事后，转账之后，发觉被骗，微信被加入黑名单，微博删干净了， 手机号关机（无法打通）
那么问题来了，这个该如何讨回被骗的钱了？ 报警吧，金额也不大，估计讨回希望不大，只好通过网上来找高手讨回资金。
已有信息：一个手机号（185开头），一个对方农业银行卡
目标：要求获得其个人信息或深入信息
难度还是很大的，因为骗子打着名义淘宝卖包，所以一定有店铺，有支付宝
因此尝试破解其支付宝开始
支付宝网站打开，因为已经有其手机账号，尝试通过忘记密码来探测；（他的支付宝账号果然就是手机号码）
在忘记密码界面，选择人工服务；此时提示输入邮箱接收材料；怎么办，大喜，赶紧输入自己邮箱~
注意：这是第一个漏洞，随便谁邮箱都可以，不限制，就给了机会，当然这个也有一定道理，因为有人自己邮箱也忘记了，让用户输入新邮箱也是可以理解
打开邮箱，支付宝发来一个邮件，点击需要填3个问题和手机验证码，看起来无懈可击，实际不然
手机验证码肯定搞不定，页面也直接提示非必须，那还管个屁， 不填
三个问题；
1：绑定快捷支付的银行卡号
2：最近使用的支付银行名称
3：自己的身份证号，
看这个3个问题，前2个问题，实际上就是一个问题，因为有一个农业银行卡信息，就拿这个卡输进去
第三个问题，身份证号码不知道，不填，直接提交
过了不久，支付包人工审核很快，居然通过了，通过邮件发了重置密码的链接，那还等啥，赶紧点击，重置密码，搞定！
注意：这个漏洞是不验证身份证号码，或者说三个问题答对1，2个即可，造成漏洞；实际上只回答了一个问题，哪个银行，卡号是啥
结果：顺利重置密码，登陆支付宝，查询所有交易，有收件人名字，地址，一切搞定
下载的交易记录
还是那句话，安全，保密尤其重要
正常修改漏洞建议
应该忘记密码的时候，默认要回复邮件到支付宝注册邮箱，然后如果要换邮箱，也可以，应该要进行身份证验证；后面的回复问题环节中，身份证必须要填写，不能忽略，更为严谨的上传身份证照片
接下来如何对付骗子
从支付宝的交易记录中，可以看到她有很多的交易记录，然后直接找到他的收货地址（家庭地址），将支付宝首页记录，以及交易记录，打印下来，快递到其家庭地址，申明已经获取其所有信息，如果不还钱，需要承担法律责任。
结果骗子果然心虚，立刻转账了所骗金额，说明其可能也是个初犯，而不是彻彻底底的大骗子。
上报淘宝后居然说漏洞不存在，却偷偷改了
通过阿里的漏洞上报平台，上报漏洞之后，一周时间都在确认漏洞，一周之后却说此漏洞不存在，然后再看看支付宝的密码找回页面，已经全改了，现在的流程是这样：
可以看到，必须要手机校验码 + 身份证号码来重置密码， 或者采用人工方式，人工方式需要上传身份证照片。
这样的安全性则大大提高。
以下是一些针对支付宝诈骗的新骗术，谨防上当
————————————–
骗子盯上快捷支付 绕开银行卡和密码轻松盗刷
找人代办信用卡，留给银行的是代办人的电话
办卡人要求先存5万元作“财产证明”，结果存款被人用支付宝花光了
张女士还没有找到稳定的工作，想自己创业又缺少资金，于是想通过信用卡透支来“借钱”。听说有人专门代办信用卡业务，她就电话联系了对方，说想办一张额度超过2万元的信用卡。
对方详细询问了她的一些情况，知道她没有工作，对方告诉张女士:“这样有点难哦，你要先去办一张储蓄卡，然后往里面存5万块钱作为财产证明，银行才肯给你发卡。”
张女士找亲友东拼西凑弄来5万元，按照代办人的指示去银行办了一张储蓄卡。在填写办卡人的电话号码时，她根据代办人的要求留下了对方的手机号码。为什么张女士办银行卡，要留别人的电话号码呢？对这个奇怪的要求，对方的解释是:“银行会进行资质审查，电话打给我，我解释起来才不会露陷。”
感觉对方说的有理，张女士也就没多想。申请表交了半个月，还没回音，她打电话给代办人，却发现联系不上了。她赶紧去银行查那张储蓄卡，发现存的5万元都没了。
明明银行卡和密码都在自己手里，怎么钱就没了呢？张女士查询了资金流向，发现卡里的钱都转到支付卡业务，随后通过支付宝购买了大批容易脱手的物品，不到一天时间就花光了。
“好友”说要借卡“收”钱，要了手机验证码
卡上的钱款不进反出，原来是骗子盗用朋友微信套来信息通过快捷支付转账
和张女士一样，林先生的银行卡和密码也保管得好好的，只不过“好友”想借他的卡接受一笔转账，要了他的手机验证码。结果不仅没有钱转到他的卡上，反而“吸”走了他卡里的余额。
林先生说，“好友”是在微信上给他留言的，说有个国外的客户要转账，但自己的银行卡挂失了，所以想让客户把这笔钱先转到林先生的账户上。因为是朋友，而且只是借卡转个账，林先生爽快地报上了卡号。
“好友”有了林先生的银行账号，又说要他的身份证号。林先生觉得奇怪，对方解释说是国外银行办理转账业务要求比较严格，再说有了身份证也能避免转错对象。
没多久，林先生的手机接到一条短信，显示的是“验证码”。“好友”在微信中告诉他，这也是国外银行的规定，收款人要确认“验证码”后才能转账。林先生虽然有些疑惑，但因为是自己信任的“好友”也就没多想，把这个“验证码”也告诉了对方。
林先生的手机开通有银行存款变动通知业务，可是，手机发来的信息，不是账户转入了多少钱，而是提醒账户上的980元存款正被转出。
林先生吃了一惊，来不及微信上联系朋友，直接打电话过去询问。“我没有给你发微信借卡转账啊，我的微信号前几天被盗了。”朋友这一句话，让林先生明白被骗了。
只要一个“验证码”，你的钱就成了他的
验证码发送时明确显示了用途，只要多个心眼认真核查就能避免被骗
没有银行卡和密码，骗子是怎么把别人卡里的钱转走的呢？记者尝试了用支付宝快捷支付系统“掏”钱，全过程仅需5分钟。
首先，记者用手机注册了支付宝的手机客户端。登录后，窗口跳出来的页面显示输入绑定的银行卡。记者将家人的一张银行卡作为“对象”，输入卡号后，窗口跳出的页面还要求填写持卡人的姓名、身份证号码和手机号码（为银行预留的验证手机号）。
记者依次填完后，预留号码的那部手机很快就收到了支付宝客户端发送的一条验证短信。输入验证码，这张银行卡也就被支付宝的快捷支付“收入囊中”了。在快捷支付的业务中，有“卡对卡”转账，记者根据系统提示填上自己的银行卡信息，填上转账金额，输入支付宝转账密码后，不到两分钟这笔钱就到了记者的账上。
从开通支付宝功能到完成转账，全过程仅5分钟。记者留意到，发送的验证短信中明确说明了“此验证码用于开通支付宝手机客户端业务”，也就是说，如果是你的手机收到验证码，只要不告诉别人，卡里的钱还是保得住的。
支付宝快捷支付的转账金额限定为每笔最高5万元，但并没有限定每日可转账的次数。骗子手上只要有你的银行卡信息和身份证信息，再加上那个验证号码，就可以轻松掏光你卡里的钱。
本文固定链接:
，专业、深度的信息挖掘和推荐
分享是一种美德，如果觉得不错点击如下图标分享
关注我们的微信公共账号：
您可能还会对这些文章感兴趣！为什么淘宝购物支付过程中没有提示输银行卡密码？求解！！_百度知道
为什么淘宝购物支付过程中没有提示输银行卡密码？求解！！
提问者采纳
谁说要输入银行卡密码的！不存在输入银行卡取款密码？就算你没有开通快捷支付而是用网银支付的那也只会输入网银登录密码你说的是银行卡取款密码吧
呵呵 它上面只提示输 银行卡号 和 u盾 密码！工行的
那就是银行卡号 和u盾的口令吧？不用输入银行卡密码的
关键 货款没经支付宝 好像直接进卖家口袋了 第一次购物 太多不明白
你经过支付宝付款的 就是支付在支付宝上
只能在你确认收货之后才会打入卖家 你在我的淘宝已买到的宝贝看是不是已经付款就知道了不懂加qq
提问者评价
感谢二过一 感谢这世界 呵呵。。
其他类似问题
您可能关注的推广回答者：
按默认排序
其他3条回答
那你使用的是快捷支付吧 快捷支付是不需要银行卡密码的 只要你的支付宝密码正确了就能支付。 因为不知道你的具体情况 希望对你有帮助！
因为现在支付宝有一个快捷支付，如果你在支付宝选项里面开通了快捷支付。如果此笔业务选择了快捷支付。他就会直接再你银行卡里面扣除钱，而不需要你用什么银行卡密码。此业务可以关闭。在支付宝里面有选项的。注意看看。 我自己是没有关闭的，因为平时我在自己电脑上使用。还是觉得比较安全的。
恩，最有可能的原因是你开通了支付宝快捷支付功能，我也开通了这个功能，直接与银行卡绑定，不用输银行卡密码
淘宝购物的相关知识
等待您来回答
下载知道APP
随时随地咨询
出门在外也不愁无法找到该页
无法找到该页
您正在搜索的页面可能已经删除、更名或暂时不可用。
请尝试以下操作：
确保浏览器的地址栏中显示的网站地址的拼写和格式正确无误。
如果通过单击链接而到达了该网页，请与网站管理员联系，通知他们该链接的格式不正确。
单击按钮尝试另一个链接。
HTTP 错误 404 - 文件或目录未找到。Internet 信息服务 (IIS)
技术信息（为技术支持人员提供）
转到 并搜索包括&HTTP&和&404&的标题。
打开&IIS 帮助&（可在 IIS 管理器 (inetmgr) 中访问），然后搜索标题为&网站设置&、&常规管理任务&和&关于自定义错误消息&的主题。欢迎您， ！|
|｜||||||||||||||||||||||||
&&&&>> &正文
银行卡密码没泄露 3万元通过手机刷卡器被转走
福建日报-海峡都市报　陈盛钟 马俊杰
字体：&&&&中金在线微博微信
扫描二维码
中金在线微信
　　经过银行查询，交易是通过“随心富”手机刷卡器发起，可是该机主无法找到，目前警方已立案
　　N本报记者 陈盛钟 马俊杰
　　本报讯 9月29日下午1点多，莆田市民小黄的手机收到了一条短信，看罢之后小黄吓傻了，原来短信提醒，她的一张储蓄卡跨行转账给他人3万多元。“储蓄卡就在我手里，卡里的钱怎么会莫名消失呢？”昨日，小黄告诉记者，当天在确认储蓄卡里的钱被人转走之后她就报了警。
　　几年才攒4万多想不到卡被盗刷
　　小黄今年19岁，去年中专毕业后她就参加了工作。她说，她的这张储蓄卡是今年办的，之前读书时家里给的零花钱，自己都没有花掉，加上工作后一整年的工资，卡里面总共存了4万多元。因为她平时很少网购，这张卡也没有开通网银。
　　9月29日下午1点46分，她的手机收到了银行的一条提醒短信，短信内容显示，她的一张储蓄卡跨行还款支出人民币30020元，活期余额10570.49元。卡里的金额差不多，信息也是银行的客服热线发的，小黄慌了，她赶紧和家人来到办卡的银行网点了解情况。果不其然，银行工作人员确认其储蓄卡上的钱已经转出了3万多元。
　　客户要银行担责银行说已经尽职
　　“储蓄卡一直放在我自己的钱包里，从没有外借过，我也没有在网上购物，怎么会发生这样的事呢？”小黄说，她每次用卡时都很小心，至今她也弄不明白别人是怎么知道自己的账号和密码，将里面的钱转走的。小黄认为，自己已经尽到了对银行卡和密码的保管义务，储蓄卡上的钱被人莫名转走，是由于银行安全防护系统不严密导致的，银行方面应该承担一定的责任。
　　当事银行相关负责人告诉记者，他们接到客户反映之后，立即派人调查处理。后查明当天该客户的这张储蓄卡确实发生了一笔金额30020元的跨行转账交易，该笔交易通过第三方支付公司――上海富友支付服务有限公司进行支付，转入方为另外一家银行的一个账户，户名显示为“马睿”。“马睿”为一名女性，身份证号码为275524，户籍地显示深圳市。
　　这位负责人还介绍，银行方面已经尽到了自己的义务，他们除了帮助客户查询到相关的转账信息外，并第一时间对客户账户进行了挂失。同时，银行网点人员还陪同客户到公安机关报了案。目前，他们也在与银联公司联系，争取获得更多的交易信息，并积极协助公安机关查清事实真相。
　　一个多月过去女孩未能拿回钱
　　昨日下午，记者拨打了上海富友支付服务有限公司的客服电话询问，该公司一名客服人员告知，经过他们查询，发生在9月29日下午的这笔交易是通过“随心富”手机刷卡器发起，发起交易的手机号码是。交易时，必须通过刷卡并输入正确的密码才能完成。
　　记者了解到，上海富友支付服务有限公司是一家获许在全国范围内从事互联网支付、银行卡收单业务的银行卡收单服务第三方机构。“随心富”手机刷卡器是该公司研发的移动支付产品，类似一款外接读卡器，通过3.5mm音频插孔提供一插即刷功能，只要将它插入智能手机音频孔并与“随心富”客户端建立连接，即可享受多种支付服务。
　　此外，昨日记者也多次拨打，该号码目前已经关机，号码显示属地为浙江省台州市。
　　银行查到了收款人的具体信息，刷卡方也找到了，可至今一个多月过去了，小黄还是没能拿回属于自己的钱。为了这事，这段时间她每天都吃不香睡不好。
我来说两句
24小时热门文章
栏目最新文章
频道文章精选
赞助商链接
赞助商链接
中金在线声明：中金在线转载上述内容，不表明证实其描述，仅供投资者参考，并不构成投资建议。投资者据此操作，风险自担。
微信扫描二维码，体验微行情服务，速查股票、利率、贵金属行情支付宝提现功能的问题，第一次用支付宝提现，输入发银行卡号和绑定的银行卡是同一张，提现时候没有需要验证码，1、想问下是不是因为是同一张卡才不需要验证码的？不然别人知道我的密码不用手机也可以提现到其他人银行卡了2、提现功能，和我直接用转账输入自己的卡号是一样的吗
支付宝提现功能的问题，第一次用支付宝提现，输入发银行卡号和绑定的银行卡是同一张，提现时候没有需要验证码，1、想问下是不是因为是同一张卡才不需要验证码的？不然别人知道我的密码不用手机也可以提现到其他人银行卡了2、提现功能，和我直接用转账输入自己的卡号是一样的吗
不区分大小写匿名
相关知识等待您来回答
银行业务领域专家