公司的商城 App 被人一分钱下单，不知道他是怎么办到的

wclebb

2016-09-27 16:59:26 +08:00

前一阵子被别人要你刚加入什么情报群，好奇进去了，一般都会禁言+群发各种一分钱，网上可以搜一分钱改什么的软件。貌似已经存在很久了，所以这个群主要是分享福利和收钱发一分钱订单之类的（偶尔有免费），经常看见一分钱或一块钱买几百手机或商品，偶尔发发优惠券。

有一次觉得像真的，联系，要求付 240 ，我就付了，然后发来 12 日领取苹果手机，我就知道被骗了，质疑后被踢开。

从此学乖了，当交了智商税，任何提供的 QQ 号手机号一律社工库。当然我也举报了，腾讯理所当然判定我没有证据（最近十条，有证据在最上面……），过一阵子后腾讯又发来通知我这号确定诈骗。

qleroooo

2016-09-27 17:00:11 +08:00

android 如果代码混淆过的话，想看懂的话还是比较麻烦的吧！可能被抓包了吧

wclebb

2016-09-27 17:02:20 +08:00

@kevincai100 就是这个，估计已经成规模了，任何有一分钱的漏洞，都会群发到某个群，然后大家都会想办法去利用，最常见的是话费充值和商品送货，话费充值是他们最爱，因为无法追踪。地址起码还能知道在哪里。

x86

2016-09-27 17:03:37 +08:00

价格您说的算...2333

yilin101

2016-09-27 17:10:30 +08:00

楼主是微擎或者微赞吗？

realpg

2016-09-27 17:12:15 +08:00

233333

都达不到普通工程师的水准就开始做涉及金钱的交易系统

dassh

2016-09-27 17:14:26 +08:00

试了下，还真可以。。建议赶紧停服务器，取消无效订单

zacard

2016-09-27 17:16:59 +08:00

后端不校验。这 app 都敢上线。。。

austinchou0126

2016-09-27 17:17:07 +08:00

"看热闹的不嫌事大"
请问这种态度是来请教大家的么 hhhh

reus

2016-09-27 17:31:31 +08:00

@w99wen 毫无意义。签名本身就是客户端提交的，签名也能伪造，毫无意义。

allce231

2016-09-27 17:33:00 +08:00

商品的价格由客户端计算？

你们真牛逼！！！！

panlilu

2016-09-27 17:42:00 +08:00

我就是来歇歇的 2333

JoyNeop

2016-09-27 17:45:41 +08:00

说下 app 名字吧，大家一起帮楼主 debug （手动斜眼

goofansu

2016-09-27 17:45:49 +08:00

价格居然客户端算。。怎么想的

ccloli

2016-09-27 17:50:06 +08:00

@domty @shiny 额，我没说清楚，那个应该是一个像众筹一样的平台，填负数就直接入账了 233

@PureDark 我也想说 how old are you ，前几天在 coolapk 上就见到你了，还想截屏问是不是你来着😂

robinshi2010

2016-09-27 17:51:04 +08:00

我是吃瓜群众。

konakona

2016-09-27 17:52:47 +08:00

@viator42 那貌似跟你没有多大关系。
APP 里的计算就算再多、再复杂，也只是避免了与 API 的通信以提供更好的用户体验而已。
进入数据库的东西必须是后端经过验证、二次计算后的，不能直接是用户的。
你们的后端也是奇葩。

killerv

2016-09-27 17:57:24 +08:00

刚才测试了一下，还可以正常下单，话说怎么退单啊……

Light3

2016-09-27 17:57:25 +08:00

这个东西肯定是后端给价格别前端给价格这样空子抓包就能钻..

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://ex.noerr.eu.org/t/309265

V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.