搜索

[13749] 2019-02-12_由一张小票引起的联想

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-02-12_由一张小票引起的联想 由 一 张 小 票 引 起 的 联 想 原 创   d e l e c t a t e   F r e e B u f   2 0 1 9 - 0 2 - 1 2 事 情 是 这 样 的 ， 日 前 逛 煎 蛋 网 ， 看 到 站 长 抱 怨 他 买 的 东 西 ， 小 票 上 的 电 子 发 票 竟 然 没 有 二 维 码 ， 而 是 一 个 事 情 是 这 样 的 ， 日 前 逛 煎 蛋 网 ， 看 到 站 长 抱 怨 他 买 的 东 西 ， 小 票 上 的 电 子 发 票 竟 然 没 有 二 维 码 ， 而 是 一 个 U R L 明 文 ： 明 文 ： 这 个 很 明 显 是 二 维 码 没 有 正 确 打 印 嘛 。 且 慢 ， 看 起 来 金 额 、 日 期 等 参 数 很 眼 熟 啊 … … 顿 时 有 点 兴 趣 了 。 日 期 、 金 额 好 像 都 是 明 文 ， 没 有 任 何 加 密 ， 而 且 看 起 来 没 有 什 么 校 验 。 姑 且 尝 试 一 下 ： 生 成 一 个 二 维 码 试 试 看 （ 此 处 使 用 的 是 草 料 二 维 码 生 成 器 ） ： 接 下 来 用 微 信 扫 码 试 试 ， 弹 出 提 示 ， 让 我 们 下 载 发 票 （ 这 个 链 接 已 经 被 使 用 ， 所 以 提 示 可 以 下 载 该 发 票 ） ： h t t p : / / f a p i a o . l p p z . c o m / e l e I n v o i c e / i n d e x . j h t m l ? i v e = 6 6 4 0 | 6 6 4 0 1 | 2 0 1 9 / 0 1 / 2 9 | 0 0 0 5 5 1 0 2 | 1 3 9 . 2 1

顺 手 下 载 下 来 看 一 眼 发 票 内 容 ：
看 起 来 都 是 零 食 ， 肯 定 有 个 贪 吃 的 G F 。 请 承 受 来 自 码 农 的 怒 火 吧 。 那 么 ， 既 然 这 个 链 接 的 参 数 都 是 明 文 ， 那 么 能 不 能 自 己 修 改 一 下 ， 然 后 生 成 二 维 码 呢 ？ 试 试 ： 6 6 4 0 和 6 6 4 0 1 ， 看 起 来 应 该 是 店 铺 i d ， 暂 不 修 改 ； 日 期 随 手 改 了 个 2 月 3 0 日 ； 0 0 0 5 5 1 0 x 可 能 是 流 水 号 ， 改 了 一 个 数 字 ； 最 后 是 金 额 ， 写 0 . 0 1 。 再 生 成 一 个 二 维 码 试 试 看 ： 使 用 微 信 扫 码 试 试 ： h t t p : / / f a p i a o . l p p z . c o m / e l e I n v o i c e / i n d e x . j h t m l ? i v e = 6 6 4 0 | 6 6 4 0 1 | 2 0 1 9 / 0 2 / 3 0 | 0 0 0 5 5 1 0 9 | 0 . 0 1
这 都 是 什 么 情 况 … … … … … … … … … … 难 道 可 以 自 行 填 写 了 吗 ？ p s ： 看 起 来 已 经 自 动 把 2 月 3 0 日 改 为 3 月 2 日 了 ； 程 序 员 赞 一 个 … …
竟 然 真 的 可 以 提 交 申 请 。 如 果 没 有 人 工 审 核 ， 或 者 后 台 没 有 校 验 真 实 数 据 ， 也 许 这 个 票 就 真 的 开 出 来 了 。 联 想 起 N 久 以 前 肯 德 基 的 电 子 发 票 ， 也 是 这 个 模 式 ， 微 信 扫 二 维 码 自 行 填 报 信 息 开 具 。 可 惜 手 贱 ， 鄙 人 已 经 把 那 个 二 维 码 扔 了 。 所 以 在 某 不 存 在 的 搜 所 引 擎 找 一 下 ， 看 看 有 没 有 “ 好 心 人 ” 贴 图 ：
该 二 维 码 同 样 可 以 正 常 被 识 别 ， 内 容 如 下 ：
可 以 看 出 ， 很 多 重 要 参 数 都 是 明 文 的 ， 如 果 系 统 后 台 审 核 不 严 格 ， 访 客 可 以 随 意 构 建 u r l ， 生 成 二 维 码 后 使 用 微 信 开 票 ， 企 业 将 面 临 巨 额 巨 额 损 失 。 由 于 实 测 风 险 过 大 ， 就 不 亲 身 尝 试 了 。 不 过 根 据 笔 者 多 年 的 经 验 来 看 ， 这 类 系 统 存 在 漏 洞 的 可 能 性 极 大 。 由 此 ， 产 生 了 一 些 想 法 ： 1 . 必 须 进 行 身 份 核 验 ， 而 且 必 须 是 开 票 的 微 信 才 能 下 载 p d f ， 且 限 定 下 载 次 数 ；
2 . 其 他 人 的 微 信 ， 不 可 以 浏 览 开 票 详 情 ， 不 可 以 下 载 该 p d f 文 件 ； 3 . 严 格 检 查 传 参 ， 并 和 后 台 的 流 水 号 、 金 额 ， 需 要 一 一 对 应 4 . 必 须 要 一 票 一 密 ， 增 加 校 验 码 ； 5 . 参 数 要 加 密 ； 6 . 对 于 异 常 订 单 ， 要 自 动 审 查 ， 进 行 人 工 核 验 ； 7 . 参 数 一 定 要 检 查 ， 务 必 要 检 查 ， 必 须 要 检 查 ， 谨 防 注 入 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： d e l e c t a t e ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理