因为咸鱼 APP 产品漏洞导致被骗

[TIMIYANG]

￥ jLFM1x086Lm ￥
淘口令到现在还能识别，而且已经换成什么陪玩了。但是咸鱼应该修复了 虽然能识别但是打不开产品页面了

贴吧看到有人卖话说 RGO 耳机 我加 Q 联系后
整个被骗流程如下
对方发一个 淘口令给我 我复制后打开 咸鱼 APP，咸鱼 APP 能正常识别到这个淘口令 提示的是我要购买的耳机产品
当我点击确认后 打开的是一个耳机产品的详情页面
然后我点击右下角的我想要 跳转到付款页面 使用支付宝 APP 付款
付款后我在我咸鱼的订单里面没有这笔交易

整个流程都是在咸鱼内完成
我联系了咸鱼客服，咸鱼客服不作为 已经跟他反馈产品漏洞以及被骗经过 不但不严谨处理 还跟我玩踢皮球
让我报警？

首先这个确实很难防，如果对吗发的是链接 或者是钓鱼的 确实可以避免
但这个一切都是在咸鱼 APP 里面 进行的 咸鱼至始至终没有提示任何风险
而且假的淘口令尽然能在咸鱼官方 APP 能够识别 试问一下 多少人能避免不被骗？

拨打杭州 12315，告诉我说他们受理不了这个投诉 让我走网络法院起诉

拨打杭州 12315 以后不受理 让走法院起诉
然后咸鱼客服专员给我回电了
一口咬定这是交易猫的交易 不属于咸鱼产品漏洞，说是最终答复 不在受理我的任何投诉
接下来准备拨打市长热线 投诉

在 asrc.alibaba.com 举报漏洞后 没超过 5 分钟就被驳回了
而且没有任何驳回理由 阿里巴巴太牛了 惹不起惹不起

一个回帖的阿里员工说 漏洞已经修复 有管人员在联系我
然后一个星期过去了 没有收到任何联系
大概就是不了了知了吧 反正投诉无门 放弃了 哎

[TIMIYANG]

在 LOC 发帖后，有人帮我解析了这个淘口令 分析结果如下
https://www.hostloc.com/thread-712363-1-1.html

[ersic]

套路这么深？那笔钱是付到哪了？

[across]

这个钓鱼法倒没听过···· 大概是其他 app 内部已经防止口令跳转了?

[imdong]

看了下分析，黑产是真滴牛逼。

[JasperYanky]

我想说的是，就算有白名单也没用，因为淘宝管理不严格，部分在白名单里面的域名过期被抢注掉，根据这些域名发展的一些列的灰产已经是生态了~ 不能多说了

[TIMIYANG]

@ersic 这笔钱付给了交易猫上面的一个什么 Q 币充值

[TIMIYANG]

@JasperYanky 所以这属于阿里产品漏洞 尽然投诉无门 害

[lurenn]

打 12345 市长热线试试看。一般会帮你转达给相关的受理部门。
要不就不要在市级投诉，考虑上升到 sheng 级，例如找 sheng 长邮箱写信访信件，省级转达到市级，市级会更重视。

[takemeaway]

咸鱼有一部分责任，口令没有白名单验证。

应该是利用咸鱼内置浏览器跳转到片子的 H5 页面，调用支。付宝支付的。这属于咸鱼漏洞。

建议楼主去收集支。付宝方面的信息，应该能够查出骗子的。

[whywhywhy]

淘宝 app 也有这样的毛病，之前就觉得这是个漏洞，会出大问题，果然有人杯具了。

[Tink]

这个确实是有问题，厉害了

[takemeaway]

刚才查了一下，我可以复现这个效果。
门槛挺低的，希望大家以后付款的时候多加注意，被骗总归是自己承担最大的责任。

[loading]

这个确实，看来在 app 内也不太安全。

[S8I86w6eTxeLcK0a]

前阵子就见过很多种这样的

[reedthink]

付款的时候看清楚啊。我一般锁单不付款，二次检查后付款

[est]

黑产真 nb 。

[niubikelasi]

这也太恐怖了

[changwei]

先报警留案底，运气好的情况下，报紧人数多了 jc 可能就会加大办案效率和打击力度，运气不好，金额少的情况下可能就不了了之了。

[chniccs]

真想了解一下黑产的人脑子到底是怎么运作的。

[anyclue]

看了下，好像是淘口令在千牛里生成的时候可以选择自定义网址和有效期（这是关键点），骗子以手机网站的形式高仿了个闲鱼 App 的界面，点击我想要的时候跳转到了支付宝网页版的付款界面（进入正常流程），最终调用楼主的支付宝 App 支付。

淘宝在淘口令的生成上确实有问题，不应该允许自定义网址的生成。

既然是支付宝付款，联系支付宝客服应该可以追回被骗的钱财了吧？

楼上说黑产牛逼的真不能认可，这操作一点也不牛，而且高仿闲鱼还有调用支付宝支付这里，还是有一些细节差别的，仔细看是可以分辨出来的，可能楼主对闲鱼不怎么熟悉所以没能及时止损吧。

[Umenezumi]

真厉害

[TIMIYANG]

@anyclue 没用，阿里踢皮球，支付宝让我找咸鱼 咸鱼让我报警，报警就更没用 还要去录口供，打杭州 12315 电话里说受理不了，让我走网络法院起诉

[YS5RhZIi09QH7T9D]

垃圾闲鱼

[anyclue]

@anyclue #20 千牛 18 年就下线了自定义页面推广，应该不是直接通过千牛生成的，网上有任意链接转换成淘口令的，应该是这么生成的，反正都是淘宝的锅

[leafre]

商机

[slamDunkLINk]

还是试试市长热线?

[Jeffreylulu]

感觉这种事，基本只能自行硬吃了，国内的执法机制，很多时候你我都懂。

[shuangya]

心疼楼主 1s 。
钱财估计是追不回来了……支付宝也没权利收回骗子的钱，除非警方要求配合。
这个漏洞我已经尝试反馈了……

[TIMIYANG]

@shuangya 我觉得这个钱就应该阿里来陪，它支付宝不是号称被盗保险的么
要是支付宝出现的产品漏洞呢 是不是也可以这么糊弄过去

[shuangya]

@TIMIYANG 被盗和被骗不是一回事，被盗指的是被盗用，但你的情况是你自己支付的，不属于盗用的范畴。
如果是支付宝的漏洞，让骗子未经允许就把你的钱转走了，那肯定是支付宝赔付。但如果是你自己操作的，就属于诈骗范畴了。这个只能是警察定性，支付宝配合。

[shuangya]

@TIMIYANG 另外这个问题已经在查了

[LZSZ]

找支付宝客服处理看看

[EmotionV]

这个时候可以试试 1818 黄金眼，正好阿里也在杭州，让记者带着上门一趟。新闻稿微博一发转发人多了才会引起重视

[xiangwan]

这锅阿里得背呀

[fe619742721]

这个锅阿里得背，产品设计漏洞

[fcmio]

所以真的不要被引导到线下交易。加 q 加 vx 的 99.9%都是骗子。

[TIMIYANG]

@LZSZ 找了，没用 支付宝让找咸鱼，咸鱼让报警 相互踢皮球

[ditel]

该是先加入购物车，再在购物车里付款好点吧

[TIMIYANG]

@ditel 问题就是一般人那会在意这些，就从淘口令 跟 咸鱼能正确识别并且在咸鱼内打开骗子的产品详情就能让 90%以上的人 以为这就是真咸鱼

[UnitTest]

@shuangya 这确实是被骗，但是问题就在于用户全程没有跳出 app，这样单纯说是用户的责任感觉说不过去。如果连自己 app 内的安全都无法保证，把自己当成浏览器了。

[lwlizhe]

淘口令生成不是需要 PID 么？ PID 好像就是绑定账号的，通过这个说不定能查到账号，进而找到骗子的实名信息

我是这么想的，不知道可不可行

[NerverLibis]

聚投诉+市长热线+报警备案+12315+市场监督局+领导留言板+互联网法院起诉+找媒体群发+亲朋好友转载+发传单+各视频网站论坛录视频发放+联系地方电视台+印发传单

[loading]

@lwlizhe 最后可能查到户主是一个信息被卖的一个不明真相的一个普通人而已。

[shuangya]

@UnitTest 是的，淘口令其实是有白名单限制的，我看了一下 hostloc 那边的分析，应该是利用了另一个跳转来绕过了这个安全机制。相关团队正在分析这个案例，尽量防止类似事情再发生。

[Nadao]

@shuangya

有一天发现支付宝的钱少了，我要提供什么证明才可以确认是被盗，然后拿到保险？

[shuangya]

@Nadao 这个很好证明，类似银行卡盗刷，只要不是你自己操作的就行，比如盗刷发生的 IP/商家不属于你所在地方。

[ziseyinzi]

闲鱼 App 都漏成筛子了……前两天 nga 还爆了个付款用浮点导致少一分钱的漏洞。
就这还不给用网页。

[hdjs5264]

起诉吧，杭州互联网法院，流程写的很详细，起诉不难的

[hdjs5264]

lz 如果想起诉，先查一下类似案例，学习一下相关法律，然后收集证据，再起诉

[zhengjing]

付钱的一刹那必须得注意啊，又是网页支付，又是订单名称奇怪。和平常都不一样，就点击付款？

[youjian]

为啥不报警？维权呀

[mcone]

@youjian 这点钱你去报警会被骂回来的……

[bfqymmt]

起诉，然后申请诉前财产保全。

[Felldeadbird]

黑产果然玩的溜啊，坐等楼主的后续。

[axxahut233]

这算是大漏洞了吧

[axxahut233]

https://baijiahao.baidu.com/s?id=1671457002395466209&wfr=spider&for=pc

[Luge]

学习下，以防被骗。

[fangcan]

不是陪玩么？ 什么耳机

[Jobin0528]

所以以后得多个个好习惯：选下单，再找到单，再支付。

[TIMIYANG]

@fangcan 麻烦看清楚，我买的时候是耳机，然后买完后 那个淘口令停止解析了
后面估计有开始骗别人了 改成的陪玩

[TIMIYANG]

@Jobin0528 98%的人 没有这个用户习惯啊

[Chingim]

垃圾闲鱼啊

[shc]

楼主记得保存好视频证据，防止他们修改之后证据无法复现。

[zgzhang]

@TIMIYANG 直接 ASRC 提交个漏洞，提漏洞的时候别说客服投诉的问题。从一个安全从业人员的角度看，这是一个挺严重的问题。如果没有忽略你的漏洞，再拿着漏洞详情去找他们客服就行了。

[neptuno]

@chniccs 估计是跟内部人员一起讨论出来的成果

[TIMIYANG]

@zgzhang 谢谢，这是一个好方法

[Telegram]

@shuangya #44
帅哥是阿里的吗？
其实说白了，还是一个老生常谈的利用 taobao.com 白名单网址跳转的功能，建议赶紧加强限制，闲鱼这类涉及交易的 APP，其他非白名单域名，一律禁止加载。
楼主这个案例，钱也不多，建议阿里进行补偿，就当 src 报告漏洞的奖励呗。

[TIMIYANG]

@Telegram ASRC 报告漏洞没用了，提交后没 5 分钟就给我驳回了，也没有任何驳回理由，店大欺客 惹不起惹不起

[Telegram]

@axxahut233 #54 说大漏洞倒也算不上，一般意思吧。哈哈

这类跳转漏洞基本每个厂家都有，这个就是玩的比较巧，直接生成淘口令，看上去比较迷惑人，让用户放松警惕。

[Telegram]

@TIMIYANG #67 把话题炒火，微博走一波，记得 at 各种媒体，1818 之类的，抖音也可以试试。应该会有人在管你的。

[TIMIYANG]

@Telegram 时间精力成本我们耗不起啊

[locoz]

做黑产的个个都是人才，思路清奇啥都想得出...绝了

[nigelvon]

按闹分配，社交媒体上话题炒热估计才能解决。

[efaun]

@NerverLibis #42 然后你就以寻衅滋事罪被抓了

[efaun]

@locoz #72 人人都是产品经理应该让他们来写

[bk201]

牛皮了，最后通过 q 币把钱洗了

[kangsgo]

支持楼主，希望楼主能够赢！

[shuangya]

@Telegram 我倒是希望可以补偿。但我就是个打工的，最多告知相关业务方，补不补偿我说了也不算😂

[shuangya]

@ziseyinzi 那个爆出来的时候就已经修复了。发帖的楼主用的旧版本

[hhacker]

这个是非常严重的漏洞! 围观

[TIMIYANG]

@zhengjing 不是网页支付 是支付宝 APP 付款的

[luhengyuorang]

@changwei 哥们，这里也可以看到你，哈哈哈

[luhengyuorang]

这个好多骗子的，还可以修改金额，你看到的是 1 元，实际是几百上千，顺便提一下秒余额，网上有视频

[gz911122]

@TIMIYANG 付款的页面是网页, 不是说支付宝是网页

[TIMIYANG]

@gz911122 是的，虽然是网页单没有跳出到浏览器，一切都是在咸鱼 APP 内的，所以导致疏忽了，让我误以为这就是咸鱼的产品页面 因为知道咸鱼骗子多 所以只在咸鱼购买过一次东西

[dearmymy]

这个牛逼啊，感谢加同情楼主。这个要是我我也会上当

[cherbim]

@gz911122 我解析淘口令的时间骗子已经把淘口令更换了（咸鱼打不开了），我只能用网页打开解析后的连接，如果在咸鱼内打开，是直接支付宝付款的

[Jooooooooo]

骗子真的费尽心机

[Foralrec]

太苦了,估计都有产业链了折黑产

[shuangya]

限于保密我不能透露太多具体内容哈。只能说两个：
1.漏洞已经修复。
2.相关业务方正在主动联系楼主。

[TIMIYANG]

@shuangya 感谢老哥，谢谢

[cherbim]

@shuangya
果然 v2 大佬还是多啊

[AreYou0k]

之前知乎支付宝还在吹全款赔付, 人工客服...果然都是骗人的

[Nathanzheng]

但大公司的傲慢病还是得改啊， 百度阿里腾讯，前几天老干妈的事那么火

[chinvo]

@AreYou0k #92 网上这些支付宝相关的诈骗, 我就没见过支付宝主动赔偿的

[shuangya]

@AreYou0k 盗刷和诈骗性质不一样。盗刷会全额赔付，诈骗不一定。

@Nathanzheng 大公司对外客服基本上都是外包的，外包都是多一事不如少一事，你懂的。

[chinvo]

@shuangya #89 虽然知道不是层主的问题, 但是如果楼主没在这里发帖, 怕不是就不管了?

漏洞平台上直接驳回可还行?

[Nathanzheng]

@shuangya #94 确实，但在路人印象里可不会分外包不外包， 黑锅就只能你们承受了

[shuangya]

@chinvo
这个没办法，对外客服都是外包，对他们来说多一事不如少一事。但是内部员工如果知道了，会重视的。
漏洞平台直接驳回应该是因为我反馈了，已经在处理了……

[chinvo]

@shuangya #98 私以为如果因为其他人提交了同样的漏洞而驳回, 至少应该给出驳回原因

这么看, 这个驳回应该算乌龙