记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华
Evi1m0，来自知道创宇，邪红色信息安全组织创始人知乎用户、刘筱羽、Daniel 等人赞同今天（日）下午，互联网安全警报被Wooyun平台上一则名为《淘宝认证缺陷可登录任意淘宝账号及支付宝（我的余额宝撒）》的漏洞一炮打响，一时间各BBS、微博、微信、QQ群展开火热的讨论，很多人表示关心自己支付宝是否安全？有的白/黑帽子则更是关心漏洞的细节以及漏洞利用情况。 首先回答大家最关心的问题，网络支付还安全吗？ 当然今天所看到的只是某个漏洞提前曝光在了大家眼前，至于支付是否安全，我觉得这得需要服务提供商（公司）和用户共同来铸造，单方面安全总是不行的。密码全部是弱口令、123456、iloveyou123、qq123123的账户，你怎么样守护他的安全？系统打好补丁，别上小网站下载乱七八糟的应用，先保证自己电脑以及安全意识没有那么低下，剩下的安全就交给服务提供商来做吧！好在近几年国内厂商安全意识有所提高。这个问题只是网络安全漏洞世界中的冰山一角，为什么大家会那么关心这个问题，好多朋友甚至私信、短信我问这个问题？其实说起来也很简单，因为这个问题威胁到他的个人财产了。国内网民安全意识普遍低下的今天，你不拿出点能够威胁到他们金钱利益的东西他们是不会害怕的，比如他的论坛密码泄露？通知他说：“你某论坛密码泄露了，修改一下吧”他会很无所谓的告诉你：“泄露就泄露吧，反正没多大事，实在不行重新注册一个”爱财之心，人皆有之。这个漏洞引发了不少人的恐慌，好在我支付宝没绑定银行卡，余额宝更是没有钱，索性好好的分析一下这个漏洞的详细情况。漏洞详情？威胁究竟如何？ 下午14:20 Wooyun平台上爆出这个漏洞，截止到16:00已经修复，当然大家不知道这个漏洞也许存在并被利用很久了，前面说过了，只是浮出水面的一角。14:25分的时候我收到一封来自这里姑且称之为“L”的邮件，提供给了我漏洞详情，称漏洞快被修复了让我拿来研究一下，看完之后真是娇躯一震。 邮件内容只有一句话：site:http:// inurl:login_by_safe, about wy. L 但是就是这样一句话，想必就是白/黑帽子梦寐以求的东西，现在漏洞已经Fix，当然这篇文章全文都是我编的，不用太在意。后面就好办了，于是我们进行的简单的GoogleHack： /member/login_by_safe.htm?sub=&guf=&c_is_scure=&from=tbTop&type=1&style=default&minipara=&css_style=&tpl_redirect_url=&popid=&callback=jsonp97&is_ignore=&trust_alipay=&full_redirect=&user_num_id=*********&need_sign=&from_encoding=%810%851_duplite_str=&sign=&ll=上面就是结果页的URL，写到这里我有点儿编不下去了，便把user_num_id的值打了星星符号，这个漏洞是这样的，搜索出来的结果我们点击进去之后会自动进入对方的淘宝账户，再从淘宝可以跳到支付宝，当然不需要登录。 于是后面我又把这个URL进行了“分解”：/member/login_by_safe.htm?sub=&guf=&c_is_scure=&from=tbTop&type=1&style=default&minipara=&css_style=&tpl_redirect_url=&popid=&callback=jsonp97&is_ignore=&trust_alipay=&full_redirect=&user_num_id=*********&need_sign=&from_encoding=%810%851_duplite_str=&sign=&ll=后来又对比了几个，发现其中不同的仅是callback与user_num_id，callback不用理睬，也就是我们可以通过遍历user_num_id便能登陆任意账户。 其实一旦支付宝账户像这样的方式泄露，用户的物理位置、手机号、姓名以及很多隐私都会大量泄漏，哎，这事又怪不得用户。不过阿里这次能给国内网民提个醒，注意注意安全！当然有好多朋友提出这样的疑问：“他又不知道我的转账密码，所以还是没问题啊，一点儿表示不担心”。像遇到这种人只能笑而不语，其实支付宝是有个小额免密的功能的，那么大数据用户面前来几百万个小额免密的用户，黑产小伙们就笑了。哦，对了，不知道黑产小哥们玩了多久这个漏洞了。类似的漏洞有没有？ 下午redrain（信息安全爱好者）和我聊天中说想起去年2月份左右支付宝出现过类似越权限的漏洞，但没有今天如此严重，还好留下两张历史图片：
其实这种漏洞在某些地方还是蛮多的，如果你认为所有漏洞都会披露到互联网水面上，那就太天真了。支付安全中另外一种很常见的攻击手法就是钓鱼了，这种钓鱼普遍发生在高档咖啡厅，黑客采用定点攻击，搭建WIFI热点让其用户连接监听用户所有流量包进行劫持，这两天会发表一篇关于DNS劫持的文章，他们之间有异曲同工之妙的联系。官方表态 16:40分时，淘宝网壕风雄震在新浪微博致谢漏洞挖掘者5W元人民币： 甲方公司这样的态度令人称赞，让我们共同呼吁铸造安全互联网！最终结论 说到底，用户怎么样才能保证自己的支付安全？1、开启短信验证码支付 2、手机支付的话开启手势支付 3、绑定数字证书 4、不链接陌生的Wifi 5、使用复杂密码（重要网站使用独立密码） 6、没有必要的话手机不要越狱或者Root 7、... 安全是一个整体，单线安全注定不安全，这就需要服务商与我们共同的安全意识。对了，刚刚“L”发给了我一张图：
小伙伴们的各种吐槽： 知乎用户，程序员 贷款算法 数据库 Oracle DB2 SyBa…tinyhill、TurboV10、jean huang 等人赞同不担心。没有任何一款产品是绝对安全的。包括各个银行的网银，各种支付系统。五角大楼都可以被攻破，何况是淘宝？关键问题是：1：攻击者要付出什么样的攻击代价。 2：出了问题以后，服务商如何解决。 出了问题不逃避，而且认真解决就是可以放心的。昨天 19:02 7 条评论刘拒拒，珍惜这份来之不易知乎用户、高鑫、刘闽晟 等人赞同我的三十块钱可要赶快取出来！昨天 20:34 1 条评论匿名用户可可mars、高鑫、van E 赞同呵呵，有多少用户跟我一样是“被”小额免密的？08:21知乎用户，懂点dev会点ops加点sec王晗、马宏菩 赞同担心信息泄露吧，至于钱是转不走的昨天 15:29 3 条评论吃屎不忘拉屎人，在中国，活着就是修行！知乎用户 赞同我觉得怎么可能没有转钱走的，淘宝撒谎了，如果我是做黑产的，得到这个漏洞，首先，写一个脚本，遍历uid并且获取余额，入库，排序，把余额高的排在前面，降序排列，既然能进账户，那就差支付密码，有动态验证和手机的直接跳过，支付宝转账到支付宝只需要支付密码，进入账户，能看到邮箱啊，用户名，手机什么的，大数据时代数据库一下，三次机会还是有很多中招的。08:13 4 条评论小书人对于问题及时改正，并坦诚相待的态度令顾客安心。只是对于我这样的小人物来说技术的威力真令人勃起，奋斗。昨天 21:54匿名用户不担心，电脑没有数字证书，自己有支付密码也没法买东西，每次重装系统都要短信验证一下。小额免密是要账号达到一定安全级别才支持的。不要人云亦云。在心中YY如何如何。人家都说了这次是泄露用户信息的漏洞。09:02知乎用户，alert('XSS')没有绝对的安全。09:17zhishen lu，null敢用我们就敢赔--------------这是态度。09:34庄少鹏，诚实守信，与人为善！支持支付宝态度。细节也很精彩，good！！！昨天 22:48乌云基友们吐槽：
1#小胖子 (在中国，活着就是修行。) |
15:01没有职业道德啊。2#园长 (你在身边就是缘，缘分写在数据库里面。) |
15:13@小胖子 逼小胖子为C3#黑色的屌丝 |
15:27我的支付宝都没有钱4#冷静 (黑客大黑客超级黑客黑客王，这就是我的梦想。。。。。) |
15:41现在还可以吗5#中国公民 (恩？) |
15:57微博上这个 互联网那点事 是谁啊？ 好像很屌。6#雨路 (卡牌大师刘谦、大发明家爱迪生、首领之傲金三胖、不祥之刃小彩旗、探险家贝尔格里尔斯、复仇燃魂邱少云、死亡颂唱者龚琳娜、爆破鬼才董存瑞、法外狂徒周克华、武器大师马加爵、机械先驱乔布斯、荆棘之兴袁隆平、黑暗之女林妙可、无极剑圣药家鑫、寡妇制造者陈冠希、深渊巨口姚晨、迅捷斥候郭敬明等117名英雄都觉得很赞！) |
16:41还好支付宝都没钱7#f4tb0y (隆) |
16:50支付宝同没钱的路过8#乌云? |
16:58感觉上，像是炒作？9#MeirLin () |
17:01@乌云? 谁对此受益?10#永久VIP (我注册了一个账号，但他变成了VIP！) |
17:01什么是支付宝？11#乌云? |
17:02@MeirLin 发布者啊，，粉丝又多了N+12#MeirLin () |
17:07@乌云? 为嘛我感觉腾讯的“理财通”因此收益了呢? 他们有直接竞争关系呀 淘宝爆如此严重的漏洞，再加上各方媒体大肆炒作，名誉肯定受损失~ 13#丁崽 |
17:15搞 双方黑客使劲搞14#奎尼 (&///&"') |
17:28写个脚本批量拖用户数据？ 15#霸气帝王攻 |
17:31疼讯安排员工做淘宝的测试？？？16#TellYouThat |
17:37补个链接 另外求乌云漏洞链接17#乌云? |
17:47@TellYouThat 那玩意是12年的了，纯粹是为了吸引眼球的18#无敌L.t.H (:?门安天京北爱我?) |
18:01先试试这个，看雷布斯赚了多少黑心钱。19#豆芽 (不忘初心，方得始终，想想当初来乌云是为了什么) |
19:02@无敌L.t.H +120#龙辰 (头像我女神) |
19:42那么牛逼。21#乌云? |
20:53@xsser @Finger @园长 求公开！好奇的不得了！！！22#斯文的鸡蛋 (顿时我就傻逼了) |
21:02当内行遇到娱乐圈，呵呵23#最热微博 (我的钢笔是黑的!) |
21:14奖励发现者 rmb5万24#园长 (你在身边就是缘，缘分写在数据库里面。) |
22:11@乌云? /question/25#高斯 |
23:02大数据！！26#jeary ((:?？办么怎，了多越来越法方象抽的我)) |
23:30@园长 怎么感觉这漏洞有点奇葩，比之前QQ的key还奇葩，别人至少还有失效时间.. 说不定有人已经遍历出了所有数据？坐等裤子浮出水面.. 27#小胖子 (在中国，活着就是修行。) |
23:35@园长 我觉得怎么可能没有转钱走的，淘宝撒谎了，如果我是做黑产的，得到这个漏洞，首先，写一个脚本，遍历uid并且获取余额，入库，排序，把余额高的排在前面，降序排列，既然能进账户，那就差支付密码，有动态验证和手机的直接跳过，支付宝转账到支付宝只需要支付密码，进入相互，邮箱啊 ，用户名，大数据时代数据库一下，三次机会还是有很多中招的。 28#倒霉熊 (谁知女人心，园长卫生巾。) |
23:51@小胖子 你不做嘿产太可惜了～！～29#saber (终极屌丝之路~) |
01:44@倒霉熊 其实他就是黑产牛！30#小胖子 (在中国，活着就是修行。) |
08:12@saber 那我就呵呵思密达了。31#Vigoss_Z |
08:48@小胖子 小额免密，遍历个3、5百万个，一个一块。 太邪恶了太邪恶了32#小乐天 (小白一枚) |
09:11肯定有人这么干了，还好没钱33#z7y (谁知女人心，园长卫生巾。) |
09:18@小胖子 膜拜小胖子狗嘿铲牛！！么么哒。。。。。哈哈哈哈哈哈34# (统治全球，奴役全人类！毁灭任何胆敢阻拦的有机生物！) |
09:26。。。。。。35#国士无双 (我来找快乐。) |
09:32嘿铲牛!资料摘自：
阅读:49367 | 评论:0 | 标签:无
想收藏或者和大家分享这篇好文章→
? 关注Hackdig微博，点击下方按钮?
? 关注Hackdig微信，学习技术更方便我的淘宝登不上，支付宝登录不上，我还怎么办，先注册那个，两个登录密码一样可以吗_百度知道任意手机验证淘宝账户登陆保护然后直接跳入支付宝（已获得账号密码前提绕过登陆二次保护）
任意手机验证 淘宝登陆保护 然后直接跳入支付宝
*****198212*****
*****?--328*****
*****?--lqy*****
测试号码 (手机号是基友的不用骚扰了）
通过搜狗修改审查元素 让系统默认我的测试号码是 用户的常用号码
下面附上审核图和视频
下面是修改审查元素就可以验证过的流程图
如果不修改审查元素 直接在常用手机 填手机号 验证 会显示如下图：
通过淘宝账户管理 直接可以跳入支付宝 有的是 开启小额支付的 如果 别人利用了这个 把用户的钱盗走了 咋办
*****/s/1mgN*****
本来是上传优酷的 竟然还不通过 我也是醉了
如你们不会复现 请私信我 我可以教你们复现
每测试一次 我就要花 20快钱 （租基友的手机号钱）
解决方案：
加强验证、过滤
顶一下(0) 踩一下(0)
热门标签：今天我的淘宝密码被人改了我登不上，我就打电话给了淘宝和支付宝客服 - 相关问题 - 110网法律咨询
今天我的淘宝密码被人改了我登不上，我就打电话给了淘宝和支付宝客服，说我的淘宝和支付宝被盗了，后来客服帮我查了我的蚂蚁花贝里的交易记录说我买了三件东西，手机，衣服和吃的胶囊，一共1000元收货地址是深圳盐田，并且购买东西2小时后就确认收货，随后就有一笔现金700元打的黄承博的帐号里，客服说这是套现，我自己没有购买过这些东西。但是花贝里的钱被别人花掉了，帐户是我的身份证登记的我要承担还款责任我该怎么办？
今天有人给我打电话利用我在淘宝买东西骗取我的支付宝和银行卡，我查看支付宝记录发现对方购买了盛大点卷，我这钱还能追回来吗
我在淘宝旺旺买衣服付了款用支付宝转的，没有发货给我，打电话不接，发旺旺不回，我的钱能要回来吗？
您好，我在淘宝购买了一个衣服，后来有个自称支付宝工作人员的人打电话给我，说支付宝里绑定的银行卡被冰解了，下午我去银行看了下卡里只有些零头，说24小时后退款给我，我是被骗了吗？
今天因为支付宝绑定不了银行卡，百度提供了一个支付宝客服QQ号，之后这个人要我扫描二维码，二维码显示要支付六百多，我问他，他说这是虚拟的，不会扣钱，我就去百度这个账号，他们说这个支付宝客服帮助了他们很多关于支付宝的问题，我就信了，结果我银行卡里面的钱还是被扣了，我该怎么办呢，报警有用么
您好，今天有骗子打电话给我说是淘宝客服，之前在淘宝买了衣服说是没收到我的货款，我后边跟淘宝客服确认了是骗子，泄露了银行卡账号，取款密码，网上银行支付密码，身份证号，卡里没钱，之后在支付宝看见一个代付款的交易，我改了支付密码，没改取款密码，还能往卡里存钱吗？
律师，你好，我被网络诈骗了将近6000块，我马上报警了，然后给支付宝客服那边也打电话举报了，警察说网络诈骗很难找回来，那我现在还需要做什么
半个月前在淘宝买的衣服今天有人打电话说我付款成功后他们卖家那边卡单了 半个月前在淘宝买的衣服今天有人打电话说我付款成功后他们卖家那边卡单了，需要加我的QQ号，然后给我发和一个链接，需要我重新登陆淘宝后把钱退给我，再重新付款，我打开链接后没敢再继续操作，请问这里存在骗局吗？
你好，我上个月在支付宝上的蚂蚁花呗借了五百块钱，今天突然有人打电话给我说我要尽快还钱，否则要起诉我，这是真的吗
今天接了个电话给个链接让点进去退款之类的输入了账号密码就收到个支付2000元验证码信息，这样钱会少吗