内容摘要：去年秋天，一个做游戏代练的朋友给我看了他手机里的一张截图。某款热门手游的充值页面，648元的礼包，支付成功后卡密没到账，但银行卡扣款短信已经来了。他找客服，客服让他等，等了三天，订单显示"已完成"。

去年秋天，卡密漏洞一个做游戏代练的卡密漏洞朋友给我看了他手机里的一张截图。某款热门手游的卡密漏洞充值页面，648元的卡密漏洞礼包，支付成功后卡密没到账，卡密漏洞但银行卡扣款短信已经来了。卡密漏洞他找客服，卡密漏洞客服让他等，卡密漏洞等了三天，卡密漏洞订单显示"已完成"。卡密漏洞

这不是卡密漏洞个例。卡密漏洞，卡密漏洞说白了就是卡密漏洞虚拟商品交易环节里，卡号和密码在生成、卡密漏洞传输、卡密漏洞核销过程中出现的逻辑断裂。有人靠这个白嫖，有人因此被薅羊毛，还有人专门做这个生意。

卡密是怎么漏的

我研究过几个案例，漏洞位置基本集中在三个地方。

一个是生成环节。有些小平台的卡密算法太糙，用时间戳加固定前缀就生成一串码。你只要知道大概的生成时间，写个脚本遍历，几分钟就能撞出一堆有效卡密。2022年有个做视频会员的小站被撸了十几万，后来查出来就是生成逻辑太简单，连随机数都没加。

另一个是回调环节。支付平台通知商户"用户已付款"，商户系统收到通知后发卡密。问题出在，有些系统不验证回调来源，或者验证逻辑有缺陷。攻击者伪造一个支付成功的通知，直接触发发卡流程。钱没到账，卡密先出去了。

还有一个更隐蔽的，在核销环节。卡密被使用后，系统没有及时标记作废，或者作废状态同步有延迟。同一张卡密在短时间内可以被多次兑换。有人专门盯着这个时间差，批量操作。

谁在利用这些漏洞

我接触过一个做"卡密生意"的人，他的原话是："这行不缺技术，缺的是信息差。"他手里有几十个平台的测试账号，每天就是跑脚本、试接口、看返回。找到一个漏洞，先小批量验证，确认能出卡密，再挂到群里卖。买家拿去干什么，他不关心。

还有一类是"羊毛党"，他们不挖漏洞，只等别人挖出来。漏洞公开后，第一时间冲进去批量注册、批量下单。平台发现的时候，损失已经造成了。去年某电商平台的优惠券卡密漏洞，从公开到修复不到两小时，但就是这两小时，被人领走了价值上百万的券。

平台方呢？大部分中小平台没有专门的安全团队。开发人员写代码的时候，想的是"功能能跑就行"，安全测试基本靠自测。等出了问题，第一反应是关掉接口，然后手动补发卡密。至于漏洞根因，往往不了了之。

这事为什么难根治

卡密漏洞的本质是信任链条太长。用户信任平台，平台信任支付渠道，支付渠道信任银行。每一环都有验证，但每一环的验证逻辑都可能出问题。更麻烦的是，卡密是虚拟商品，没有物流，没有实物签收，出了纠纷很难取证。

我见过一个做得比较好的案例。某平台把卡密生成和发放拆成了两个独立系统，生成系统只负责生产加密卡密，发放系统负责在支付确认后解密发送。两个系统之间的通信用了双向证书认证。就算有人伪造支付回调，也过不了发放系统那一关。这套方案不复杂，但愿意做的平台不多。成本是一方面，更关键的是，很多平台觉得"我不会那么倒霉"。

可事实是，只要你的卡密有价值，就一定有人盯着。这不是倒霉不倒霉的问题，是时间早晚的问题。

那个做代练的朋友，后来没再追究那648块。他说："就当交学费了。"但我觉得，这笔学费不该由用户来交。