支付宝远程代付被骗，想问一下是怎么死的

[lesswest]

被骗金额 ¥1000
前提一：帮我好朋友问的，他就想知道怎么死的，钱无所谓了
前提二：我也不支持淘宝刷销量
正文开始：（据他描述）
事情发生在昨天下午，刷销量的具体流程是这样的
1. 我朋友发链接给刷单的人
2. 刷单的人浏览之后拍下来，但是不付款
3. 刷单人申请远程（剩下的就是我朋友这边操作了）
4. 我朋友去刷单人“已买到的宝贝”，点击“立即付款”，然后跳转到支付宝页面，选择“银行卡”，填写我朋友自己的“银行卡号”，选择“网上银行”支付，跳转到银行的付款页面，填写“支付账号”，填写“手机号”，填写银行发送的“验证码”，完成付款。

完成付款之后，完成的并不是我朋友的订单，所以他很淡定的告诉我被骗了，我觉得也比较有意思，所以就问了一下具体过程。

首先我认为是刷单人的 hosts文件被修改了（从支付宝跳转到银行那一步），所以请求付款我朋友订单的页面，实际上是跳转到了刷单人自己待付款订单页面，但是我给他重现了一下，发现 https页面通过修改 hosts文件是重定向不了的。

然后我又从“已买到的宝贝>立即付款”跳转到支付宝付款那一步做重定向，未果。

其次，我又想到了 DNS劫持、ARP 投毒、中间人攻击、可是我又想就是刷个单，用着这么费劲的来骗人吗？忘大神们不吝赐教，热烈讨论。

[yangqi]

@lesswest 不是淘宝刷单么？那不就是担保交易么，付了款钱是被支付宝扣着的，之后要确认收货钱才会打到对方账户啊？我理解的不对么，还是用的即时到帐？

如果即时到帐的话，付款前有没有确认被付款人得名字？

[lesswest]

@nealfeng 那这人也太闲，竟然做了一套完完整整的网站，可能性不大
@manoon 没懂

@darcyzhou 就是我一次控制了他两台电脑，可是这样的话，我应该收到两次验证码的啊

[darcyzhou]

@lesswest 嗯，这是个问题。我再想想，看看能不能重现，但可以肯定的是不是特别复杂的技术手段。

[darcyzhou]

第4步，页面本来就在已买到的宝贝页面，还是说你朋友点进去的？

[lesswest]

@luckykong 这个有可能，有什么资料能读下么
@bugeye 额，我朋友就选了这么个方式刷单，觉得安全吧，不这样别人有时候会申请退款的。
@yangqi 网上银行 需跳转银行页面，将不享受免费保障服务
@alp 下载看下
@momou 我们看不到那个完成的订单编号的

[yywudi]

@yangqi 你没看清楚，楼主朋友是卖家，找人来刷单，然后远程到刷单人的电脑去付款，用的是刷单人的淘宝帐号+自己的卡，付完发现这笔交易的卖家不是自己，自己付的钱不会回到自己口袋里。跟什么担保交易、即时到帐没关系

[nealfeng]

@lesswest 说不定只做了几个页面，其它的也没点啊。不过个人感觉还是插件直接改页面比较简单，不受https的限制。

[farnan]

我觉得你朋友就不是在规定上付款的，而是在一个钓鱼网址打的钱，url和界面很像而已。

[darcyzhou]

20楼有可能是真的，对方开了两个浏览器。
1、你在第一个浏览器点击立即付款以后，等待页面跳转的时候对方隐藏了第一个浏览器；
2、这时候你看到的是第二个浏览器窗口里面的付款页面；
3、你在这个页面进行的所有操作都是另外一个订单的了。

[coolicer]

一般是买家被骗，卖家也会？

[lesswest]

@yywudi 对对对，这个说得明白。
@nealfeng 有什么资料参考吗？想重现一下过程，不然一直蒙在鼓里。
@darcyzhou 据我朋友说哈，进去的时候就是已买到的宝贝，不过我朋友又从我的淘宝－－》已买到的宝贝，刷新了一次，不知道他看地址栏地址正确了没，我认为也不可能是什么高大上的技术活，我再问下他，确认一下

[luckykong]

@lesswest 哈哈，我瞎猜的~~不是这个专业的，只能天马行空的乱想一气~

[cismous]

据我了解，我身边已经有2个朋友被骗了

[aru]

已买到的物品是一个http页面，骗子可以通过各种方式替换掉特定的数字ID呀，比如说nginx的反向代理sub_filter 模块。
1. nginx的反向代理sub_filter 模块做配置，替换掉交易的id
2. hosts 将已买到的宝贝这个页面所在主机 buyer.trade.taobao.com 直到自己的nginx 反向代理服务器

[nealfeng]

@lesswest 没什么资料，只是听说插件可以改页面内容。找找怎么写浏览器插件就可以吧。

[lesswest]

@coolicer 看来是会了
@farnan 一年有360天在淘宝支付宝混，改个小版他都要跟我说一声，我认为这种可能性小

[aeshfawre]

这个估计不复杂,去刷单人的电脑上付款,银行卡里的剩余资金没被弄走算不错了.
别人的电脑上他想怎么样设置陷阱都可以. 用木马盗窃的人还需要想办法将木马种到你电脑上来盗窃,那个刷单人想盗窃简单多了,将木马种自己电脑上,等你付款直接偷钱就是了

[lesswest]

@aru 嗯嗯，那也算朋友运气不好，碰到一个会写程序的坏人，apache 应该也可以吧，我 linode 上面搭了个apache，就是想重现一下这个过程。

[lesswest]

@aeshfawre 他知道的信息只包括，我朋友的银行卡账号、我朋友手机号码后四位、还有银行发送的一次性验证码，没有别的了

[stonelei]

自己做个“已买到的宝贝”的界面不就行了嘛，图片就行，立即付款做个链接，哈哈