支付宝远程代付被骗，想问一下是怎么死的

[lesswest]

被骗金额 ¥1000
前提一：帮我好朋友问的，他就想知道怎么死的，钱无所谓了
前提二：我也不支持淘宝刷销量
正文开始：（据他描述）
事情发生在昨天下午，刷销量的具体流程是这样的
1. 我朋友发链接给刷单的人
2. 刷单的人浏览之后拍下来，但是不付款
3. 刷单人申请远程（剩下的就是我朋友这边操作了）
4. 我朋友去刷单人“已买到的宝贝”，点击“立即付款”，然后跳转到支付宝页面，选择“银行卡”，填写我朋友自己的“银行卡号”，选择“网上银行”支付，跳转到银行的付款页面，填写“支付账号”，填写“手机号”，填写银行发送的“验证码”，完成付款。

完成付款之后，完成的并不是我朋友的订单，所以他很淡定的告诉我被骗了，我觉得也比较有意思，所以就问了一下具体过程。

首先我认为是刷单人的 hosts文件被修改了（从支付宝跳转到银行那一步），所以请求付款我朋友订单的页面，实际上是跳转到了刷单人自己待付款订单页面，但是我给他重现了一下，发现 https页面通过修改 hosts文件是重定向不了的。

然后我又从“已买到的宝贝>立即付款”跳转到支付宝付款那一步做重定向，未果。

其次，我又想到了 DNS劫持、ARP 投毒、中间人攻击、可是我又想就是刷个单，用着这么费劲的来骗人吗？忘大神们不吝赐教，热烈讨论。

[zealic]

Greasemonkey script or Chrome Extension

[lesswest]

@zealic 使用的是IE浏览器

[ven]

会不会伪造了一个已买到的宝贝的页面，替换了“立即付款”的连接，实际上另外一个金额完全一样的订单~

[lesswest]

@ven 这个我也考虑过，但是据我朋友说，他付款之前，是刷新了页面的“我的淘宝>已买到的宝贝”，而且地址栏也没有异常。

[zealic]

@lesswest IE7Pro

See also:
http://en.wikipedia.org/wiki/Greasemonkey#Equivalents_for_other_browsers

[xiaoyaoking]

修改网络封包，曾经接过一个类似的程序源码。

[icemanpro]

直接f12

[yangqi]

难道不是担保交易么？不能申诉？

[royzheng]

应该是动态修改已买到宝贝的页面源代码吧

[jasontse]

会不会是骗子自己上架了一个一样的宝贝，让代付的其实是另一个单子?

[ooxxcc]

自己生成了个页面之类的。。

[bugeye]

我朋友去刷单人“已买到的宝贝”，点击“立即付款”

这步出问题的可能性最大吧，已买到的宝贝就是普通页面，又是别人的宝贝列表，他哪知道对劲不对劲？

[nealfeng]

看了半天才发现是远程操作，那他那边什么情况也不知道啊，感觉做一个完整的仿冒网站也是可以的。不过估计浏览器插件也是有可能的，直接改页面里的链接。

[darcyzhou]

有可能是一台机器控制双屏造成的，同样屏幕分辨率下同样的商品，同样状态按钮也一样。在你输入完银行验证码点击付款的时候，骗子先点了另一屏的订单。

[manoon]

host--->127.0.0.1

[lesswest]

@icemanpro 修改之后，刷新一下又就会回到淘宝的
@yangqi 不能，跳转到网银的不管
@jasontse 往这方面考虑过，就是想重现一下

@bugeye 嗯嗯，我觉得这里出问题的可能最大

[luckykong]

或者会不会你朋友连接到了骗子的虚拟机里的ie，然后骗子在实体机上对流量或者数据进行修改

[bugeye]

我奇怪为什么要远程？在别人机器上搞这些，他做手脚的可能性是无限的。包括上面说的，后台某程序直接改封包（以前电信只给一台机器上网的时候，我也写过这种程序改过电信认证的封包）。

[momou]

应该从完成的那个订单上入手。。。

[alp]

链接: http://pan.baidu.com/s/1sj4qRt7 密码: f0vu