V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
Motorola3
V2EX  ›  分享发现

站长圈发生一件大事,我简称 314 事件

  •  
  •   Motorola3 · 65 天前 · 7365 次点击
    这是一个创建于 65 天前的主题,其中的信息可能已经有所发展或是发生改变。

    事情是这样的,在我所在的一个程序售后群里,突然有人晒了一张关于"易支付 sq|注入测试”的截图,截图里面的内容是某某网站所用的支付接口被 sq|注入,然后改了订单回调导致支付成功。后续有群友通过截图里的"tq 机器人"名字找到了这个工具的 tg 号,然后就一传十,十传百,百传千,经过后续别人测试自己的网站或者测试同行的网站发现只要是用了这款程序的电商平台,发卡平台无一幸免都会被注入且回调成功。
    现在的情况就是成千上万对接了这款程序支付接口的网站都被撸了羊毛,其他程序也有这种情况,只不过这款程序的情况比较严重,tq 机器人的作者在频道里号称通杀该程序所有版本。
    遭受羊毛党比较严重的平台是那些所谓的卡盟,卡商,因为他们都是代理的总平台,然后往里面预充了很多钱,所以羊毛党可以操作完平台的支付回调之后随心所欲的购买那些[自动到账]的会员,居群里被撸的同行说有的被撸了几千,有的被撸了几万,现在程序的开发者给出的建议是关站,等解决了 sql 注入的问题使用新版本之后再开站。 我粗略的算了下 这次事件受到波及的网站很多,损失的金额能起码超过百万

    27 条回复    2024-03-18 10:40:41 +08:00
    zhw2590582
        1
    zhw2590582  
       65 天前   ❤️ 3
    是不是也简称 π 事件
    BigBai
        2
    BigBai  
       65 天前
    牛批 666
    HitouchiMi
        3
    HitouchiMi  
       65 天前 via Android   ❤️ 1
    2024 年,听到 SQL 注入,有种恍如隔世之感
    wetalk
        4
    wetalk  
       65 天前   ❤️ 1
    祖传代码
    Motorola3
        5
    Motorola3  
    OP
       65 天前
    @HitouchiMi 毕竟易支付那套东西很老了 而且网上充斥着各种二开和开心版
    cktsun
        6
    cktsun  
       65 天前 via Android
    那些站賣的東西也是不合法的, 他們有本事就報警, 執法機關最好一鍋端, 世界清淨
    woody3rd
        8
    woody3rd  
       65 天前
    这有点离谱
    gregy
        9
    gregy  
       65 天前
    这种支付平台算是第四方清算吧,他们没有做清算的资质,本来就是被打击的灰色产业。有些还用个人收款码跑分。
    这种黑吃黑的操作警察叔叔会管么?这种平台一撸就是一串,从支付平台的站长到发卡平台的站长都跑不了。
    太 TMD 吓人了
    cherryas
        10
    cherryas  
       65 天前
    还记得拼多多刷 q 币事件吗? 这种不是说支付成功就成功了,后续可以人为退回,肉身国内胆子太大的估计要进局子,实际影响没有多大。
    sdjl
        11
    sdjl  
       65 天前   ❤️ 1
    会不会写漏洞的人和利用漏洞的人是同一个人? 一种新的盈利模式?
    archxm
        12
    archxm  
       65 天前
    @HitouchiMi 没法完美解决的
    SilentOrFight
        13
    SilentOrFight  
       65 天前
    都是黑吃黑,正规平台的没人敢撸。以前腾讯游戏搞那些外挂灰产都是故意养肥了等涉案金额高了再收集证据报警抓人
    fulajickhz
        14
    fulajickhz  
       65 天前
    @sdjl 据传闻说是源支付最早作者,然后发生某些不愉快,利用以前留下的后门做成 Tg 机器人(此信息为传言,但目前可靠程度应该是最高了,本公众号将持续跟紧此事件)

    程序员留后门,这算刑事责任
    fulajickhz
        15
    fulajickhz  
       65 天前
    楼上的文章里,有站长被撸 1 一个亿

    站长都这么有钱的吗
    Motorola3
        16
    Motorola3  
    OP
       65 天前
    @gregy 咋可能是第四方清算,拿什么清算。 易支付都是有支付牌照的公司下面申请的小代理
    lstz
        17
    lstz  
       65 天前 via Android
    什么年代了,怎么还有 sql 注入....
    gregy
        18
    gregy  
       65 天前
    @Motorola3
    我接触过小的聚合支付是站长自己注册支付宝和微信的通道。收到钱以后给自己的注册商户结算。
    没接触过那种有牌照的代理
    majiajia
        19
    majiajia  
       65 天前
    今天上午在一个机场下单,好几次支付网站都无法打开,到中午才好,不知道是不是也跟这个有关
    Motorola3
        20
    Motorola3  
    OP
       65 天前
    @gregy 那也是合规的呀 只不过是自己给自己开罢了
    0xy63n
        21
    0xy63n  
       65 天前
    [易宝支付] 和 [易支付] 有关系吗
    Motorola3
        22
    Motorola3  
    OP
       65 天前
    @0xy63n 你要看他源码用的那套 易宝只是个名字 如果他用的是易支付或者源支付的源码 那就可能有问题了
    eughplease
        23
    eughplease  
       64 天前 via iPhone
    omg
    sanebow
        24
    sanebow  
       63 天前 via iPhone
    看了一眼,漏洞挺明显的,很有可能是开发者留的后门。压根不是 SQL 注入,这个 tg 机器人故意误导,增加其他人找漏洞的难度。这类系统问题很多,以后再出这种事件也不意外。
    layxy
        25
    layxy  
       62 天前
    @0xy63n 没啥关系,易宝支付应该是自己开发的
    yyj08070631
        26
    yyj08070631  
       62 天前
    @gregy 这不还是自己做收单了,如果没收单牌照应该是不合法的,只是规模小的没人会管罢了
    Motorola3
        27
    Motorola3  
    OP
       62 天前
    @yyj08070631 这也不是自己做收单啊,这属于是 wx zfb 哪里做一下认证 然后还是要背靠一个收单机构的 只要用的不是码支付
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   2416 人在线   最高记录 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 25ms · UTC 14:45 · PVG 22:45 · LAX 07:45 · JFK 10:45
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.