去年夏天，老虎我在一个做网络安全的卡漏朋友家里喝茶。他随手打开笔记本，老虎指着一个后台日志说：“你看，卡漏这家公司的老虎老虎卡系统，漏洞多得像筛子。卡漏”

老虎卡是老虎什么？简单说，就是卡漏很多中小型健身房、游泳馆、老虎球馆用的卡漏会员刷卡系统。一张卡对应一个会员，老虎刷卡进场、卡漏扣次、老虎储值。卡漏看起来挺方便，老虎但问题就出在“太方便”上。

朋友给我看了几个真实案例。有一家连锁健身房，会员卡系统用了某品牌的老虎卡。他们给会员发的是实体卡，但后台管理界面居然没有登录次数限制。也就是说，只要有人知道管理页面的网址，就可以无限次尝试密码。更离谱的是，默认管理员账号是admin，密码是123456。这家健身房开了三年，从没改过。

结果呢？一个离职的销售，用手机浏览器试了五分钟，就进了后台。他给自己开了张终身免费卡，还给三个朋友各充了五千块钱。直到三个月后财务对账，才发现储值金额对不上。

这还不是最夸张的。

另一个案例发生在社区游泳馆。他们用的老虎卡系统支持“远程开卡”——前台电脑上装个客户端，连上读卡器就能写卡。但这个客户端的通信协议是明文传输的。什么意思？就是你在前台刷卡，卡号、余额、操作指令，全在局域网里裸奔。有人用Wireshark抓包，十分钟就摸清了协议格式。然后自己写了个脚本，往读卡器上一贴，就能把任意卡改成无限次。

我问朋友：“这些漏洞厂家不知道吗？”

他笑了笑：“知道。但改起来麻烦。很多老虎卡系统是十几年前开发的，底层架构就那样。厂家卖一套系统几千块，后续维护费一年才几百。你让他们重写？不可能。”

更麻烦的是，很多场馆老板根本不懂技术。他们买老虎卡，就看两点：便宜、能用。至于安全性，只要没出事，就当不存在。我见过一个球馆老板，他的老虎卡系统连数据库密码都是空的。我提醒他，他说：“没事，我们这小地方，谁没事干这个？”

可现实是，干这个的人越来越多了。网上有专门的论坛，讨论各种老虎卡系统的漏洞。有人分享默认密码列表，有人上传抓包工具，还有人直接卖“开卡神器”——一个U盘大小的设备，插上就能改卡。价格从几十到几百不等。

我后来自己试了一下。找了个二手市场，花八十块钱买了张空白的M1卡。又下载了一个开源的NFC工具。对着我家楼下健身房的读卡器一刷，卡号读出来了。再查一下这家健身房用的老虎卡型号，网上搜到默认密钥。写进去，余额改成9999。整个过程不到二十分钟。

当然我没真去用。但这件事让我想了很多。

老虎卡漏洞的本质，不是技术多高深，而是整个链条上的人都在装睡。厂家装睡，因为改造成本高、收益低。场馆装睡，因为觉得“没人会盯上我”。用户装睡，因为卡能用就行。直到有人真的动了手，损失发生了，才慌慌张张找人补漏。

可补漏往往也是糊弄。我见过一个案例，场馆发现漏洞后，厂家给出的方案是：把默认密码改掉。就这。通信加密？没有。权限分级？没有。操作日志？也没有。改完密码，该裸奔还是裸奔。

所以如果你问我老虎卡漏洞怎么防，我的答案可能不太中听：别指望厂家。自己长点心。后台密码设复杂点，别用admin。管理页面别放公网。读卡器通信能加密就加密。实在不行，至少每天对一次账。发现异常，立刻停卡。

至于那些还在用默认密码的场馆，我只能说：你的老虎卡，可能比你家大门还容易进。