2023年夏天，漏洞一个叫“卡盟”的漏洞QQ群里流传着一份名为“QQ会员无限刷”的文档。文档只有两页，漏洞里面写着利用QQ钱包充值接口的漏洞一个参数漏洞，把0.1元支付请求伪造成年费会员订单。漏洞我拿到文档时，漏洞群里已经有人声称刷了三年会员，漏洞截图里SVIP图标亮得刺眼。漏洞

这漏洞的漏洞原理不复杂。QQ会员的漏洞支付流程里，客户端向服务器发送订单金额，漏洞服务器只校验了支付凭证的漏洞合法性，没校验金额和商品ID的漏洞对应关系。简单说，漏洞你花0.1元买一个月会员，漏洞抓包把商品ID改成“年费”，服务器照样认。早期QQ钱包的签名机制用的是MD5，密钥藏在客户端里，反编译就能拿到。

我找了个测试号试了一次。用Fiddler抓包，把product_id=VIP_MONTH改成VIP_YEAR，金额保持0.1元。提交后，页面转了两圈，弹出一行字：“支付成功，会员已到账。”账号头像旁边立刻多了个红色年费标识。整个过程不到三分钟。那天下午我刷了六个号，每个号都成功。群里有人刷了上百个，拿去卖，五块钱一个。

漏洞很快被堵上。腾讯的修复方式很直接：服务器端加了一层校验，把订单金额和商品ID做哈希比对。但在这之前，已经有人靠这个赚了几万块。一个叫“老猫”的群友说，他刷了三千多个号，每个号卖八块，两天赚了两万四。后来腾讯追封了一批账号，老猫的号全没了，但他早把钱提现了。

这事有意思的地方在于，漏洞利用的门槛极低。不需要会编程，只要会用抓包工具，照着文档改几个参数就行。那段时间，QQ群里到处是“代刷会员”的广告，价格从五块到二十块不等。有人甚至做了个一键刷会员的工具，界面简陋，点一下按钮就自动完成抓包、改包、提交。工具在群里传疯了，后来被腾讯安全团队盯上，作者被请去喝茶。

我后来跟一个做安全的朋友聊起这事。他说这种漏洞在支付系统里很常见，本质是信任了客户端传来的数据。很多公司早期都犯过这个错，包括一些银行App。修复方式也简单，就是服务端重新计算一遍金额，跟商品定价比对。但问题是，很多团队在开发时图省事，把校验逻辑放在客户端，觉得用户看不见。实际上，抓包工具一抓一个准。

腾讯后来发过一份公告，说漏洞影响范围有限，已修复，对用户资金无影响。这话没错，用户没损失，损失的是腾讯。但那些刷了会员的号，大部分被追封了。有人不服，去投诉，客服回复：“系统检测到异常订单，已回收会员权益。”投诉没用，账号没被封就算运气好。

这事过去快两年了。现在QQ会员的支付流程里，金额和商品ID的校验放在服务端，签名机制也换成了更复杂的算法。但类似的漏洞不会消失。只要还有开发图省事，只要还有客户端信任，就还会有人找到下一个“0.1元年费会员”。我写这些不是教人刷会员，是想说，那些看似严密的系统，有时候脆弱得可笑。