KFC上校：小伙子不讲武德

黑白呸 · 公众号 · · 2021-05-19 18:30

正文

“ 2018年4月，五名大学生通过钻肯德基程序的漏洞，造成百盛商场损失20万元，于2021年被判诈骗罪、教授他人犯罪方法罪。本期内容，黑白呸请到了一名资深的技术人员，将从程序员的角度剖析事件。让我们一起来看看，一场线上交易背后，都发生了些什么。”

经典程序员笑话一则：

一个测试工程师走进一家酒吧，要了一杯啤酒

一个测试工程师走进一家酒吧，要了一杯咖啡

一个测试工程师走进一家酒吧，要了0.7杯啤酒

一个测试工程师走进一家酒吧，要了-1杯啤酒

一个测试工程师走进一家酒吧，要了2^32杯啤酒

一个测试工程师走进一家酒吧，要了一杯洗脚水

一个测试工程师走进一家酒吧，要了一杯蜥蜴

一个测试工程师走进一家酒吧，要了一份asdfQwer@24dg!&*(@

一个测试工程师走进一家酒吧，什么也没要

一个测试工程师走进一家酒吧，又走出去又从窗户进来又从后门出去从下水道钻进来

一个测试工程师走进一家酒吧，又走出去又进来又出去又进来又出去，最后在外面把老板打了一顿

一个测试工程师走进一家酒吧，要了一杯烫烫烫的锟斤拷

一个测试工程师走进一家酒吧，要了NaN杯Null1T

一个测试工程师冲进一家酒吧，要了500T啤酒咖啡洗脚水野猫狼牙棒奶茶1T测试工程师把酒吧拆了

一个测试工程师化装成老板走进一家酒吧，要了500杯啤酒并且不付钱一万个测试工程师在酒吧门外呼啸而过

一个测试工程师走进一家酒吧，要了一杯啤酒';DROP TABLE 酒吧--

测试工程师们满意地离开了酒吧。

然后一名顾客点了一份炒饭，酒吧炸了。

来源：知乎今日飞雪

众所周知，不管程序员如何努力，总会被测试人员发现一堆bug；不管测试人员发现了多少bug，正式上线后总会被用户发现一堆bug。因为作为生产者，你永远不知道，别人是怎么使用你的产品的。

2018年4月，在利用肯德基App点餐过程中，徐某无意间发现两个“生财小门道”。

他发现：首先在App用套餐兑换券下单，进入待支付状态后暂不支付，之后在微信平台对兑换券进行退款操作，之后：

在App中选择退款，就可以免费再获得一张兑换券，相当于有了两张兑换券；

在App中进行支付，就可以免费获得一份肯德基套餐，而兑换券却没有消耗掉。

发现这个漏洞后，徐某“喜出望外”。从当年4月起，除了自己这样点餐操作外，徐某还做起了“副业”。他将诈骗得来的套餐产品通过线上交易软件低价出售给他人，从中非法获利；同时还与同学有“福”同享，将犯罪方法当面或通过网络传授给丁某等4名同学。截至同年10月案发，徐某的行为造成百盛公司损失5.8万余元，丁某等四人造成百盛公司损失0.89万元至4.7万元不等。

这一通操作，枉我这十年经验的渗透测试工程师都看得有点懵逼。但宏观上来讲的话，这有点像经典的“条件竞争漏洞”：

条件竞争漏洞（Race condition）官方概念是“发生在多个线程同时访问同一个共享代码、变量、文件等没有进行锁操作或者同步操作的场景中。” 这个漏洞存在于操作系统、数据库、web等多个层面，像有名的脏牛（dirty cow）。

那这么说，徐某也是个黑客了啊，虽然没有逆向破解、抓包改包，却实实在在的把兑换券变多了。毕竟高端的黑客，往往采用最朴实无华的攻击手法：

当然，再牛逼的黑客也不能无视法律的约束。

根据被告人犯罪的事实、性质、情节和对于社会的危害程度，徐汇法院依法认定徐某犯诈骗罪，判处有期徒刑二年，并处罚金人民币六千元；犯传授犯罪方法罪，判处有期徒刑十个月，决定执行有期徒刑二年六个月，并处罚金人民币六千元。

丁某等四人皆因相同案由被分别认定为诈骗罪或诈骗罪、传授犯罪方法罪，分别被判处有期徒刑两年至一年三个月，并处罚金人民币四千元至一千元不等。

徐某不过是万千羊毛党的一个缩影。电商兴起的这些年，各大平台为了抢客户增粘度，那真是花招频出。生造出来的各种节、券、满减、抵扣、积分、金币，买个东西像在做奥数题，比如我昨天在东哥家买冰激凌的订单：

点击查看大图

这一堆冰激凌，结算的时候通过凑单加抵扣，加上之前拿路由器帮东哥跑cdn挣的豆和用豆换的卡，最终一毛钱没花。

这种薅羊毛的行为就类似夫妻间的小情趣，一个愿打一个愿挨，互相有默契，也知道度。

像我这种爱占便宜又算数不好的人，往往就会直接抄别人的答案，像已经上市的什么值得买，前身也不过是某论坛的一个热门推荐帖子。这种人我们常常叫他们羊毛党。比如推荐给我冰激凌促销信息的这个叫星空的朋友，就常年靠推荐这些消息到群里，挣购物平台的结单返利。

我私下把类似星空这种业余挣点零花钱的羊毛党归类成为 温和羊毛党 ，与之对应的还有 激进羊毛党 和 极端羊毛党 。

激进羊毛党往往会从亲戚朋友手里收集到一堆账号，日常通过对bug价（有些商家的数学也不好，被复杂的平台规则搞晕的时候，就会出现设定的价格低到离谱的情况）、白菜价（大多是清库存的垃圾）的商品进行批量购买再变现，做得好的可能比去厂里上班的工资高。

极端羊毛党可就厉害了，他们掌握了更多的技术能力，群控着成千上万的手机和账号，不止可以薅商家的羊毛，日常还可以去薅社交平台上的抽奖活动，收费投票刷热度。但是有些极端羊毛党路子就更野，他们可以通过一些黑客手段，人为造成bug订单，以此牟利。

KFC上校：小伙子不讲武德

正文

请到「今天看啥」查看全文