支付宝漏洞

2024年1月，支付支付宝的宝漏“五福”活动刚上线不到两小时，我一个朋友就发现自己的支付账户里多出了三张“敬业福”。他没做任何操作，宝漏只是支付点开了活动页面，刷新了一下。宝漏三张福卡就躺在那里，支付像被人塞进兜里的宝漏。

他截图发到群里，支付我们都以为是宝漏P的。直到另一个同事说，支付他也遇到了——刷一次多一张，宝漏刷十次多了八张。支付这不是宝漏运气好，这是支付系统在“送”。

后来官方没有大张旗鼓地解释这件事。只在客服回复里含糊提了一句“活动期间数据缓存异常”。翻译成人话就是：服务器没扛住，把别人的福卡吐给了你。

漏洞不都是“被黑客攻破”那种

大多数人听到“漏洞”两个字，脑子里浮现的是黑底绿字的终端界面、一串代码、某个天才少年敲几下键盘就转走了几个亿。真实的漏洞往往没那么酷。它可能只是程序员少写了一个判断条件，或者缓存时间设错了。

2015年，支付宝曾经出过一个更离谱的事。有用户发现，在特定版本的安卓客户端上，输入别人的手机号，不需要验证码就能直接登录对方的账户。这个漏洞存活了几个小时。支付宝后来回应说是“偶发技术故障”，但安全圈的人都知道，那是一次典型的身份校验逻辑漏洞——该验证的地方没验证。

再往前，2013年，支付宝的“找回密码”功能被爆出可以绕过身份验证。只要知道对方的手机号和身份证号，就能直接重置密码。那会儿很多人还没意识到，自己的身份证号在快递单、租房合同、各种登记表上早就泄露了。

为什么总是支付宝

倒不是说微信支付就没出过问题。但支付宝的用户基数太大，功能太杂，从转账、理财、保险到水电煤缴费、健康码、电子身份证，什么都往里装。每加一个功能，就多一个可能出错的入口。

我认识一个做渗透测试的朋友，他说过一句话：支付宝的安全团队是国内最顶尖的之一，但再顶尖的团队也架不住产品线拉得太长。一个五福活动的缓存逻辑，可能跟支付核心链路完全不在一个优先级上。出问题的往往不是钱，是那些“不那么重要”的边角功能。

可对用户来说，边角功能泄露的也是隐私。福卡不值钱，但能刷出别人福卡的接口，理论上也可能刷出别的东西。

普通用户能做什么

说实话，不多。你没法审计支付宝的代码，也没法要求它每次更新都做安全评审。但有几件事可以留意：

别用同一个密码。支付宝的登录密码和支付密码分开设，别跟其他网站共用。我那个朋友后来发现，他的支付宝密码跟某个小论坛的密码一模一样。那个论坛2016年就被脱库了。

关掉不必要的授权。支付宝里“我的—设置—隐私—授权管理”那一栏，点进去看看，你会发现一堆你根本不记得什么时候授权过的小程序和服务。有些还在持续读取你的信息。

遇到“异常福利”先截图。像刷出多余福卡这种事，截图留证，然后别动。别去分享、别去交易。你不知道那个漏洞背后还连着什么东西。

漏洞的另一面

2017年，支付宝曾经搞过一个“漏洞修复响应中心”，公开接受白帽子的漏洞提交。有人提交了一个可以查看任意用户真实姓名的漏洞，支付宝确认后给了500块钱。对，500块。那个白帽子后来在博客里写：我不是嫌钱少，我是觉得他们可能没意识到这个漏洞能拿来干什么。

能干什么？配合其他泄露的数据，就能拼出一个人的完整身份画像。姓名、手机号、消费记录、收货地址。这些碎片单独看都不致命，拼在一起就是一把钥匙。

支付宝后来把那个漏洞的奖金提到了五千。再后来，他们的SRC（安全响应中心）成了国内最活跃的企业安全平台之一。这算是好事。但漏洞不会因为奖金高就消失。只要代码还在写，功能还在加，漏洞就会一直冒出来。

我那个刷出三张敬业福的朋友，最后把福卡都删了。他说看着那三张卡躺在那里，总觉得不是自己的东西。这个直觉是对的。