记一次网站安全导致的客户平台金额被刷事件

发布日期： 2025-09-19 16:20 阅读量： 81 来源： 互联网

这个项目是商城项目二开的，商城原代码功能很强大，基本上所有的电商项目都包括了，所以程序很复杂，这样就有了一个问题，这个系统是一直迭代过来的，前面的功能过多，后面只顾着开着新功能，系统越来越庞大，最后想重整以前的代码时，发现搞不动了，工作量十分惊人。

我们接手之后，首要任务是完善分销功能，据客户说，上一家公司在接手之后，分销功能一直不正常，商城是有分销功能的，但是功能太复杂，随便一个分销设置，配置项在100个左右，看的人头皮发麻，所以我们决定自己写分销逻辑。

项目中需要接入第三方平台的点餐系统（霸王,库迪,喜茶,奈雪,瑞幸,星巴克,肯德基,麦当劳），外卖系统（接口原因未完成），电影院售票，京东商城，全国加油站，全国酒店预订，国内机票购买，国际机票购买，打车平台（其它原因未完成），这些数据客户肯定是没有的，所以买了第三方的接口。

我们拿到接口数据，然后作购物车系统，订单系统，中间要进行价格处理，在接口结算价的基础上稍微加一点利润，保证平台正常运营，以上都是正常情况下的操作，我们也完成了所有的功能，后来发生了一件事情，就是我们要说的系统安全事件。

某一天客户晚上充值了3W元值顾客消费使用，第二天发现一晚上都花光了，因为一般的顾客都只是买一些小东西，像咖啡，麦当劳之类，最多的也就是加油，一次200左右，就算订单偏多也不可能一晚上花光3W，后来查了扣费记录，发现有人购买了京东平台的黄金产品，这个贵啊，一单1万7，一单8千多，一单4千多，3W也经常起消费，但是查帐发现顾客只付了3块多钱，这个就离谱了，赶快找原因，原来是购物车的价格数据被改了，再查购买车价格被改，应该是顾客懂一些黑客技术，在数据传输过程中篡改了数据，而我们两边都认为小程序内部与服务器之间的数据传输是安全的，不容易被篡改，还有一点就是我们的数据都是第三方接口提供，在提交购物车和订单的时候，服务器没有商品数据，无法进行价格的检校，所有的价格都是小程序端发送过来的，如果顾客懂技术，可以在数据中找到检校用户登陆的验证的数据部分，就很容易伪造用户登陆，然后随意修改发送的数据，这些被修改的价格进入系统之后，就按流程一直走到第三方接口，然后发货。

再来说一下这个黑客顾客是怎么样搞的，9月14号，他就通过一些手段，在系统中给自己的用户充值了好几万块钱，然后他一直没有动，第一次动是15号，我在日志中看到有大量的下单数据，这个时候应该是在试探系统中的余额还有平台中的员工关注情况，估计一直没人关注到余额变动，就在15号的晚上通过修改价格的方式，用不到1块钱的余额购买了300多的商品，后来又同样的方式购买了800多的，1700多，8千多，4千多的商品，这个时候还是没有被发现，16号的时候，胆子变大了，分别购买了4千多，8千多，1万7千多的商品，这个时候员工才发现问题，跟我们这边对接之后，确定是劫持数据下的订单，赶快找人报警，想追回16号购买的黄金，这个时候已经有些来不及了，回为京东的商家可能已经发货。这个时候，我们已经在程序中添加了一些拦截劫持价格数据购买的代码，这个黑客顾客应该是发现以前的路子走不通，并意识到应该已经报警了，这个时候，他就直接拿出14号充值的几万块钱，以正常的流程购买黄金，而我们这个时候正在配合报警作一些记录，客户经过这么一折腾，对公司和后续的运营信心大受打击。

按我们的推理，他应该很早就关注到这个小程序，并且黑进系统里面去了，一直按兵不动，只到发现没有时刻关注系统的时候，才发动了第一次刷商品的行为，然后第二次大额被发现，这边应该已经报警，就不顾后面的事情，直接用前面充进去的余额直接走正常流程购买。

所以程序员写在跟钱相关的代码时，一定要注意多加验证，多打印日志，记录购买的IP之类。

最后附上图片

上一篇：: lavarel框架填坑之路

下一篇：: 前端解决video层级过高导致页面元素被遮挡的问题

记一次网站安全导致的客户平台金额被刷事件

随便看看