腾讯内部是不是有内鬼啊，刚刚申请了微信支付，结果就发来诈骗短信

2016 年 12 月 20 日
 TangMonk

昨天在微信官网上申请微信支付，今天下午就收到了一条短信

于是我就点开了这个链接，发现是 asp 后缀的，腾讯应该搞 php 的啊，我于是就发现有点不对头，我就往里面来了一发 xss 代码。

不一会儿就搞到了 cookie, 登录后台一看。。

19634 次点击
所在节点    微信
106 条回复
TangMonk
2016 年 12 月 20 日
@Patrick95 但是我周围的朋友没有收到短信
NaturalColour
2016 年 12 月 20 日
厉害了我的楼主
Quaintjade
2016 年 12 月 20 日
可以查一下详单来分辨是不是伪基站，注意短彩信和增值业务都要查，因为有些增值业务也能发短信。
sapbou
2016 年 12 月 20 日
wap.weixtqq.com 这不摆明说是假的么
ahkxhyl
2016 年 12 月 20 日
层主说的对 感觉有点像伪基站发的~~
j8sec
2016 年 12 月 20 日
腾讯企业验证费用和验证是交给第三方做的, 这个第三方有重大嫌疑
TangMonk
2016 年 12 月 20 日
@j8sec 原来如此！什么公司啊？
terence4444
2016 年 12 月 20 日
过两天去查详单 看看到底是不是伪基站
wclebb
2016 年 12 月 20 日
申请微信支付有可能不是腾讯，而是第三方审核所在的公司。
Tink
2016 年 12 月 20 日
强,无敌!
shingoxray
2016 年 12 月 20 日
Good job ！事关广大人民群众安全，建议向当地公安报案，并向腾讯安全应急响应中心报告。
RobertYang
2016 年 12 月 20 日
哈哈哈 干的漂亮
Aidea
2016 年 12 月 20 日
厉害，自己还是要加强学习啊~
gotonba
2016 年 12 月 20 日
难怪现在可以通过对公账户打款来验证，看来第三方确实不安全，还得交 300 大洋=。=
jedihy
2016 年 12 月 20 日
能不能写写入侵流程
jookr
2016 年 12 月 21 日
[建议]
1 、用个插件自定义你的 UA （例如插入几个字符），大家写后台的时候在统一入口验证 UA 如果不包含那几个字符就 404 ，这样能防止 XSS 。 https://ext.se.360.cn/webstore/search/魔变
2 、 session 保存登录的 ip ，每个后台页面打开都判断当前 IP 是否等于登录时记得那个 IP 。

求还有什么方法或者更简便的方法防止被 XSS
cname
2016 年 12 月 21 日
如果是伪基站的话，怎么知道谁刚刚开通微信支付，刚好受害者周围部署了伪基站？
lxrmido
2016 年 12 月 21 日
说起伪基站，大学时有一阵子只要发查询剩余流量的短信（移动卡）就会收到电信上网卡的推销短信……
lxlgod
2016 年 12 月 21 日
@TangMonk 厉害的。。。
TangMonk
2016 年 12 月 21 日
楼上的各位，应该是伪基站发送的，我查了下移动的短信详单, 没有 95017 的电话号码：

移动的短信详单：

我的手机收到的短信： （我的手机还"智能"的给短信加了 logo ）

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://v2ex.ih06.com/t/328864

V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX