淘宝支付宝转账付款漏洞BUG 泄露用户隐私信息原因过程

通过支付宝新浪微博的说明,可以明白这次支付宝泄露用户隐私的原理。

淘宝支付宝转账付款漏洞BUG 泄露用户隐私信息原因过程

当支付宝用户转账付款成功后,系统会生成一个“转账付款结果”的展示页面,其上有转账详情,包括付款收款人的用户名、金额、说明、备注、时间。这个页面是公开的,只要有网页地址,谁都可以看。这就是漏洞所在。

一般来说,因为付款结果页的URL复杂而随机,其它人不会看到,搜索引擎蜘蛛也不知道。但有时,有的付款人为了向收款人证明自己已经付款,会把链接发布在公开的网页上(一般是论坛BBS),这时,搜索引擎爬虫顺着BBS的链接,就可以抓取到付款结果页了。

支付宝在中国数亿的海量用户,即便很小比例的人分享,最后泄露的数据也不会少,据说泄露的页面有2000-3000条。假定有支付宝有5亿用户,其中有百分之一用到转账付款,就有500万人。有万分之一的转账付款用户分享付款结果页,就是有500人分享。再假定这些爱分享的养成习惯,一人分两条,就是1000条。

案例分析

论坛“中国投资资讯网交易在线 xx007.cn”上有用户“朱海杭 abcd4068@sohu.com ”出售首日封。在第10楼,李硕回复款已付支付宝,并附上了付款结果页链接。

注:以下的看似隐私的信息,是主人自己发布在公开的网页上,非我泄密。

中国投资资讯网交易在线 → 邮票大卖场 → 邮资封片JP/JF/TP/YP/FP

标题:编号227: 同济大学和曹冲称象 总公司丝织首日封 量少价格便宜
卖布的猪 2013-3-4 23:50:00
http://www1.xx007.cn/dispbbs.asp?boardid=7&id=8157051

同济大学 52套  15元一套
曹冲称象  55套  15元一套
零售价格15元一套 包挂号
一起走12元一套  一起走包邮包品
需要尽快联系

认证员注:交易级别有效期至2013年4月9日。
姓名:朱海杭(87年出生,已通过身份核查,号码一致,照片一致)
地址一:河南省民权县城关镇一中  邮编:476800
电话:0370-8569718  
地址二:上海市普陀区灵石路1197号聚奇城邮币卡市场二楼2059号包房 (邮编200072)
家庭住址:河南省郑州市金水区玉凤路凤鸣路聚锦苑3号楼3单元901室  邮编:454000
手机:13623700700  13585706131
农行:6228482382010321412  朱海杭
招行:6225 8821 3485 1622  朱海杭
工行:622202 1716006839757 朱海杭
建行 6227002471750435491   朱海杭
支付宝账号 :abcd4068@sohu.com 朱海杭 QQ 513983272

lishuo1129 2013-3-7 23:25:00
https://shenghuo.alipay.com/send/result.htm?outBizNo=2013030700001000820039962618&sign=0dbe871f0e543d77ccd62ab676643953
款已付支付宝,或请发:北京市丰台区西罗园南里21楼408    李硕   100068    13911267527

李硕  
北京丰台区和义东里2区18楼8门502室          
邮编100076     电话13911267527

根据李硕先生在邮品交易论坛贴出的“支付宝转账付款成功结果页”链接,搜索引擎爬到了支付宝公开的转账详情:

这是 Google 对 https://shenghuo.alipay.com/send/result.htm?outBizNo=2013030700001000820039962618&sign=0dbe871f0e543d77ccd62ab676643953 的缓存。 这是该网页在 2013年3月18日 09:43:12 GMT 的快照。 当前页在此期间可能已经更改。

转账成功,对方已收到您的500.00元款项。
转账详情
付款账户:     lishuo…com
收款账户:     abcd4068@sohu.com
付款金额:    50…00元
付款说明:    转账
付款时间:    2013.03.07 2…8
状态:    转账成功

快照地址:https://webcache.googleusercontent.com/search?q=cache:_whc52POWVAJ:https://shenghuo.alipay.com/send/result.htm%3FoutBizNo%3D2013030700001000820039962618%26sign%3D0dbe871f0e543d77ccd62ab676643953+&cd=1&hl=zh-CN&ct=clnk

朱海杭的另两条支付宝收款记录:

  • 转账成功,对方已收到您的70.00元款项。
    转账详情
    付款账户:    
    收款账户:     abcd4068@sohu.com
    付款金额:    70.00元
    付款说明:    极限片20套款
    付款时间:    2013.02.12 21:55:37
    状态:    转账成功
    https://shenghuo.alipay.com/send/result.htm?outBizNo=2013021200001000880034994505&sign=08274e2213d2a66a12a821142c5b5765
  • 转账成功,对方已收到您的35.00元款项。
    转账详情
    付款账户:    
    收款账户:     abcd4068@sohu.com
    付款金额:    35.00元
    付款说明:    购买盖销火箭3套和恐龙一套
    付款时间:    2012.11.10 10:42:48
    状态:    转账成功
    https://shenghuo.alipay.com/send/result.htm?outBizNo=2012111000001000020012878605&sign=6ef2e30c8a9f0abd28b9563dc893b2a8

★后续

支付宝程序员已经连夜做了修复了漏洞,把生活助手付款结果展示页面的详情全部去掉,“增加一个消费记录详情的链接,该链接点击后需要用户登录才可以看到”

支付宝程序员已经连夜做了修复了漏洞,把生活助手付款结果展示页面的详情全部去掉

转账成功,对方已收到您的500.00元款项。
查看详情 https://lab.alipay.com/consume/queryTradeDetail.htm?tradeNo=2013030700001000820039962618

https://shenghuo.alipay.com/send/result.htm?outBizNo=2013030700001000820039962618&sign=0dbe871f0e543d77ccd62ab676643953

总结

到此,我算是有点明白,搜索引擎并非在网站服务器按目录全部抓取数据,而是沿着互联网上一个接一个的链接来抓取。如果一个网页压根没有被任何搜索引擎索引直接或间接地链接难,即难以抓取了。所以,新网站需要提交到搜索引擎,所以网站多做外链有点好处。

相关

傲慢不承认自己错误推卸责任到用户的淘宝支付宝

2013-03-28 13:00:59 XUEXX.COM IPO
2013-03-28 19:22:14 AddBackLink

130327 羊毒死叫来俩警车 柴引着唤来救火车

Yd=2013.3.26;Td=2013.3.27;飞碟

昨晚,多人喊小狗,就是不见其踪影,感觉有点不妙,可能丢了。结果今天他出来了,原来就是卧在他柴堆里的老巢。白天观察,它似乎病了,给他油条都不吃。后来F买了一针两元,打了后见轻,但F只买了一针,因为他心疼他的钱用过小狗。

原传着今日要停电,铁路上小工头忧,电联村头目,居然有人告不停,结果今天真地没停。
铁路上今日开动了一台炮锤在施工。

中午,为了明天的祭死者,炸了些我不知名的油食,顺便就炸了些油条及麻花。

今日终于把财付通的绑定手机号改了。
上午,淘宝付款了裤子109元;内裤裤子56元。
M让看看他喂牛的人用钙片网上价格,可居然网上没的卖。

傍晚,XY2来了,说是他弄了一下午了,本来到了建行,说已经开通了网银,可回来不能用,打电话说仍旧没开通。于是,它找X。确实没开通,还好,网上就能很快地开通。共交了两笔400,居然还有6笔1200,分儿只有6了,所以他提议我考驾照把分就能给他。
后来,他买了个配件,修理了三轮车of柴油。还带着俩跟班,可能吃饭店去了。

两件事

  1. Yd,BmwMeta & SwordMeta,放羊回来,羊陆续死,不得不埋掉。有人说死了10来头,有人说死了20来头,反正一头是2000左右,损失挺大。
    死因是被人在地了羊必经之地下了狠毒药,当时报了警,来了两警车,今天又来一辆。下毒药是有仇,但因为作案人不明,具体什么仇不详。
    不知后事如何。
  2. TdAm,PullBullSon,切柴不慎,电线起火花,引燃了柴,很快招来了救火车。我还过去一观,影响不大。

小牛上了笼头晒太阳

2013-03-28 03:02:50 XUEXX.COM IPO

山西晋中车辆违章缴费网上银行建行邮储交罚款 财付通免费违章通知

“公安局交通警察大队 公安交通管理简易程序处罚决定书”上写着“持本决定书在15日内到建设银行、邮政储蓄、农信合银行缴纳罚款。逾期不缴纳的,每日按罚款数额的3%加处罚款”

“山西省公安厅交通管理局”主办的可以进行交通违章查询、驾照积分查询的网站,“山西公安交警网 便民信息查询平台 www.sxgajj.gov.cn (山西晋中祁县太谷平遥交通违章驾驶证驾照积分数扣分查询官网地址)”,页面上提示有三种网上银行缴费入口,可支付交通罚款:工商银行、建设银行、邮政储蓄。

也就是说,按交警的说法,山西(晋中)车辆交罚款,柜台上建行、邮储、农信合可搞;网上银行,工行、建行、邮储可干。建行与邮储是网上网下通吃。手头有建卡与邮储卡,实际测试确实可以;工行无卡无法测。另外,也测试得出,财付通、移动手机支付可以查询但不能办理缴费;淘宝支付宝查询也不行。财付通尚可以免费地通知违章。

中国建设银行缴纳交通违章罚款

中国建设银行 http://ccb.com

进入选择“个人网上银行登录”。如果没开通网银,可以网上自助开通,无需柜台,很快的。

山西晋中车辆违章缴费中国建设银行网上银行建行交罚款

进入“缴费支付>缴费支付”,选择:

  • 收费单位所在地区:山西省
  • 缴费支付项目类别:交通税收类   
  • 收费单位:交警罚没
  • 缴费支付内容:交警罚没
  • 处罚书编号:
    请不要输入“-”和最后一位数字(例如:140222-1234567890,输入140222123456789);缴费时间0:00-21:00。成功缴费后,请隔日查询相应罚单是否撤销,避免重复缴费造成损失。

缴费明细围观

  • 交易地点:140001000太谷县财政局预算 对方账号:0750 8241 03** ***0 012 对方户名:代收交警罚款待清算资金户  摘要:太谷县财政局
  • 交易地点:140001000祁县财政局      对方账号:0750 8241 03** ***0 012 对方户名:代收交警罚款待清算资金户  摘要:   祁县财政局

中国邮政储蓄银行缴纳交通违章罚款

中国邮政储蓄 http://www.psbc.com 
选择“个人网上银行登录”,这个是否可网上开通网银,我忘记了。

中国邮政储蓄网上银行缴纳交通违章罚款交罚款

选择进入:“网上缴费>在线缴费>”,然后依次选择:

  • 缴费项目:交警罚没款
  • 缴费内容: 交警罚没款
  • 收款单位名称 :山西省财政厅
    说明:缴费时间为每天早晨5:00到晚上10:00,如需收据,请携带处罚决定书(一式二联)到前台办理。

哦,很简单的其实。

★中国移动手机支付不能交晋中交通违章罚款 只能查

中国移动手机支付官方网站 https://cmpay.10086.cn/

中国移动手机支付不能交晋中交通违章罚款 只能查

选择“应用中心>生活缴费>”进入:http://cmpay.10086.cn/life/publicutilitie/publicutilitieIndex.htm ,打开“交通罚款”,进去后,先是“违章查询”,所填信息与“山西公安交警网 便民信息查询平台 www.sxgajj.gov.cn”相同:车牌所在地、车牌号码、车架号[就是车辆识别代号(VIN,Vehicle Identification Number)]、车辆类型。

输入后,可以查到违章记录,但至此也就结束,因为每条都是“该条违章不支持网上代办,需前往当地车管所进行现场办理。”

★腾讯财付通查询晋中车辆违章

财付通与中国移动手机支付大体类似,对于山西晋中的违章,可以查询不可办理。但有一个优点:免费订阅车辆违章通知提醒服务,通过手机、电子邮件、QQ。

财付通 https://www.tenpay.com/

打开“生活>更多应用推荐>违章代办”,会进入:
财付通 |生活家 http://life.tenpay.com/v2/app/08/0000000408.shtml
全国车辆违章免费查询和通知、10元起代办

腾讯的违章代办服务由深圳市至尊汽车租赁股份有限公司提供,电话4006788588 。他们比官网要求更详尽的车辆识别信息,官网只要车架后6位,他们不仅全要,还要发动机号,但不强制要手机、姓名。

可以正常查询,但不可代办,提示:“ 抱歉…此城市违章代缴服务正开拓中,敬请期待。代办费用:    0(元)    代办周期:    7(工作日)”

要说财付通也要去了些隐私,为了免费通知,还会自愿地提供联系方式,可一来腾讯牌子大有点保障,二来不像压根什么也查不到的其他查询网站(百度谷歌到的非官网交通违章查询网站骗取车主隐私信息却只查到个屁)。

★淘宝支付宝

最后说阿里系,因为它们什么也不行,晋中交通违章,查不了也办不了。

2013-03-28 02:15:33 XUEXX.COM IPO

百度谷歌到的非官网交通违章查询网站骗取车主隐私信息却只查到个屁

百度搜索一些交通查询有关的关键词,大多的第一个结果是非官方的欺诈性质的查询网站。

百度搜索导向的欺诈骗取隐私的查询网站

我找到的唯一的第一结果是官网的关键词
(注:以下,右箭头前是关键词,后是搜索结果及域名)

  • 晋中交通违章查询→晋中公安交警网 www.sxjzjj.com/

第一结果都是欺诈性质的关键词:

  1. 晋中交通罚款查询→晋中交通违章查询-晋中违章查询网 0354.weizhangwang.com
  2. 晋中交通查询→weizhangwang.com
  3. 晋中驾驶证分数查询→晋中驾驶证违章查询 weizhang8.cn
  4. 晋中驾驶证扣分查询→晋中驾驶证违章查询 weizhang8.cn
  5. 晋中驾驶证违章扣分查询→晋中驾驶证违章查询weizhangwang.com
  6. 晋中驾驶证违章扣分记录→weizhang8.cn
  7. 晋中驾照查询→weizhang8.cn
  8. 晋中驾照积分查询→weizhangwang.com

我不得不承认,我所钟爱的Google,在此表现还不如百度,在我测试的9个关键词中,百度毕竟还有一个是给出官网到首位,而Google的首位,基本都被上面两个.com和.cn轮流地坐庄了。

为何说这些山寨查询网站是欺诈骗人?

百度搜索“交通罚款查询“驾驶证扣分查询”等找到的非官方查询网站如weizhangwang.com、weizhang8.cn,极度邪恶!它们在诱导查询者输入隐私数据如姓名、手机、购车时间,官网查询只要车牌号、车辆识别代号(VIN,Vehicle Identification Number)后6位。因为没VIN,肯定查不了(如果能查到,那就是有犯罪,或黑客或内部人盗取了公安局服务器信息),最终它们只是给一个官网链接,所以他们的经营网站只在掠夺隐私与广告赚钱,而根本不提供查询!

起初我还当是,他们把查询者输入的车牌与VIN号码,通过官网“山西公安交警网sxgajj.gov.cn”数据库的查询接口进行实时查询,因为这样应该只要编个小程序,想来也并不复杂,虽然我也不懂编程,但以前遇到过类似的,有人利用“buptmba.org”网站的点击拨号平台暴露的API,在别的网站实现了相同的勉强打电话功能。

现在显然,这些山寨的交通违章查询站长下作地很,完全地在欺骗,压根就不会做什么查询。

截图存照

百度谷歌到的非官网交通违章查询网站骗取车主隐私信息
案例1:weizhang8.cn

百度搜索“交通罚款查询“驾驶证扣分查询”等找到的非官方查询网站如weizhangwang.com、weizhang8.cn,极度邪恶
案例2:weizhangwang.com

当你在这些网站输入车牌查询,系统会提示“交通违章查询,系统忙或网络故障,获取数据失败,请进入以下网址查询,备用查询链接1”,打开备用查询链接,却是一个所谓的“交通违章保险一体查询”,在此他们以保费查询的借口,要求查询者输入:

  • 购车时间:  (正确选择,统计违章积分)
  • 车主姓名:
  • 车主手机: (正确填写,接收查询结果)
    全国交通违章快速查询,请确保信息正确填写以便系统能准确查询违章信息,本系统采用短信通知方式。

他们专门后面还要以查询为名胁迫无知查询者填写隐私信息,这些信息查询用不到,即便用到他们也不查,他们的狼子野心昭然若揭。

他们俩要的信息不是查询违章所需要的,而查询违章需要的车辆识别代号(VIN,Vehicle Identification Number)他们反而不要。最后他们把查询人能榨取的价值榨取完,就把查询者推向官网——毕竟还是给给了个链接的,还不算完全没有下限。

声明

我只测试了三个这种非政府性质的查询网站,都是同样的欺骗,因时间有限,不再测试其它,只推断其它基本如此,因为我测试的weizhang8.cn和weizhangwang.com,从搜索引擎中的表现,是最突出的。

或许有例外,所以不保证所有的非官方网站都是在骗人。

相关

山西晋中祁县太谷平遥交通违章驾驶证驾照积分数扣分查询官网地址

  1. 山西政区图太原市:
  2. 吕梁市:离石区 孝义市 汾阳市 文水县 中阳县 兴县 临县 方山县 柳林县 岚县 交口县 交城县 石楼县
  3. 晋中市:榆次区 介休市 太谷县 祁县 平遥县 灵石县 寿阳县 昔阳县 和顺县 左权县 榆社县

资料

平安交通违章查询网站,保障车主的信息安全
时间:2012-12-04

据相关的负责人表示,平安交通违章查询网这样的改革只要是为了保障车主的隐私安全,以前有一些使用套牌的不法分子经过查询车辆的违章信息,能够了解哪些车主经常开车,哪些车主不经常开车,如果发现有的车牌号长时间不使用,就会用来套牌,最后给原来的车主生活带来了很大麻烦。
http://chexian.pingan.com/fuwu/1354588859803.shtml

查车辆违章信息需输发动机号 为保护车主隐私
2012年08月15日08:00三秦都市报

西安市公安局交通管理局网站是驾驶员朋友查询车辆违章信息的一种便捷途径。为保护车主隐私,该网站最近改变了查询方式。
xian.qq.com/a/20120815/000022.htm

2013-03-28 00:46:38 XUEXX.COM IPO

山西晋中祁县太谷平遥交通违章驾驶证驾照积分数扣分查询官网地址

百度搜索“晋中交通违章查询”,第一个结果是“晋中公安交警网 http://www.sxjzjj.com/ ”,进入后可找到“山西公安交警网 便民信息查询平台”的查询链接http://59.49.18.116:8008/sxwwpt_wai/jsp/inquiresf/main.jsp,打开即可查询山西全省各地的交通违章和驾驶员积分。

山西晋中祁县太谷交通违章驾驶证驾照积分数扣分查询官网地址直接打开“山西省公安厅交通管理局”主办的“山西公安交警网 http://www.sxgajj.gov.cn/ ”,上面也有查询链接,打开也是上面的59.49.18.116:8008/sxwwpt_wai/jsp/inquiresf/main.jsp

在“山西公安交警网 便民信息查询平台”上,可以查询的有:

  1. 机动车交通违法查询:只需要提供车牌号和车辆识别代号后6位,不需要姓名手机号码
    注意:请同时输入号牌号码和车辆识别代号(VIN,Vehicle Identification Number)的后六位!(不足则全输)
    山西公安交警网 便民信息查询平台机动车交通违法查询 提供车牌号和车辆识别代号后6位
  2. 机动车简项信息查询
  3. 驾驶人交通违法查询
  4. 驾驶人简项信息查询
  5. 驾驶证记分信息查询:需要输入驾驶证档案编号、驾驶证号
    驾驶证记分信息查询:需要输入驾驶证档案编号、驾驶证号
  6. 驾驶人体检信息查询
  7. 科目考试预约查询
  8. 科目考试成绩查询
  9. 违法行为代码查询
  10. 执法单位代码查询

透露个人隐私的公告查询及便民提醒

因为驾驶证号与身份证号一致,所以在山西公安交警网上,可以看到一些人的姓名及对应的身份证号(当然就知道他真实年龄),有的车牌也显示出来,比如事故车辆。

———————

公告查询>满12分驾驶人公告
晋A    驾驶证号为14272319920406381X的关海洋违法记分已满12分,请及时处理!    2013-03-27
晋L    驾驶证号为142623198004293717的姚俊峰违法记分已满12分,请及时处理!    2013-03-27
晋C    驾驶证号为230302198107124037的白振波违法记分已满12分,请及时处理!    2013-03-27
晋K    驾驶证号为142402198907200611的吴建宏违法记分已满12分,请及时处理!    2013-03-27
晋E    驾驶证号为140524197809101510的王军违法记分已满12分,请及时处理!    2013-03-27
晋B    驾驶证号为14022719880817351X的赵志武违法记分已满12分,请及时处理!    2013-03-27

便民提醒>临界满12分驾驶证提醒
晋C    驾驶证号为140303196407230443的姜翠娥违法记分达9分,请文明驾驶!    2013-03-27
晋E    驾驶证号为14052219650529351X的王敦红违法记分达9分,请文明驾驶!    2013-03-27
晋F    驾驶证号为140602198607253016的王力强违法记分达9分,请文明驾驶!    2013-03-27
晋A    驾驶证号为210302198305290614的吴顶违法记分达9分,请文明驾驶!    2013-03-27
晋A    驾驶证号为140108198407114215的董得珑违法记分达9分,请文明驾驶!    2013-03-27
晋J    驾驶证号为142327198707013370的宋艳文违法记分达9分,请文明驾驶!    2013-03-27
晋M    驾驶证号为142731197207015718的刘引新违法记分达9分,请文明驾驶!    2013-03-27

相关

2013-03-27 23:43:05 XUEXX.COM IPO
2013-03-28 02:27:35 AddBackLink