今天发现易宝(yeepay)充值卡类支付方式可能存在的安全漏洞!

这二天应朋友之托，要为他的游戏增加一个在线充值功能，因为支付宝/快钱等比较大牌的公司申请商户都要营业执照或付费，于是他选择了易宝支付(www.yeepay.com)，下载了SDk开发文档看了下，功能还蛮全的，而且比较贴心的是易宝提供了二种模式:测试模式和生产模式，测试模式下不必真实付费，就能得到跟真实生产模式一样的返回值，极大的方便了开发调试。

易宝的充值大概分为二类，一类是银行卡类的网银在线支付，另一类是非银行卡类的充值卡支付(比如神州行，Q币充值卡等)

接入过程中，发现一个明显的安全问题，充值卡支付时，居然允许用户在商户自己的网站上输入卡号和密码，而非象其它支付平台(比如快钱)先把用户引导到自己的官方平台(通常这类网址应该是https://开头)后再提示用户输入卡号密码等关键信息。

相信大家也看出问题来了，程序员完全可以在用户输入完卡号/密码并提点提交后，可以先做点别的事情，然后决定是不是继续提交到易宝的网关！(如果程序员有心套取用户充值卡的卡号和密码，简直易如反掌)

把这个问题反馈给他们技术，刚开始居然还没意识到，并不承认这是bug，实在无语。而且就算所有程序员都是良民，用户在没有看到官方支付平台的https://安全网址之前，有几个人敢输入卡号，密码等信息？

为了引起他们的重视，我又写了封EMail给客服，得到的回复却是：

尊敬的商家：

您好，感谢您对易宝支付的支持，您的建议我们已经查看，这个技术的问题，如果您对我们的技术有建议的话那么建议您跟我们的技术的人员详谈下，再次感谢您对易宝支付的支持，谢谢。

关于技术问题,您可以拨打技术支持热线....(电话号码隐去)

客服中心...号(客服号码隐去)很高兴为您服务

后来又在QQ上仔细跟他们技术讲解了一遍，这回总算意识到了，回复如下:

易宝技术 2009-5-15 13:51:50
恩，您这个问题提的很好，不过已经超出了我们的解决范围，我只是负责接口接入中的问题，我会跟相关人员反映此事，谢谢

终于明白易宝为什么做不过支付宝/快钱这些同类公司了。因为这个问题可能涉及用户资金安全，个人觉得比较重要，所以放在首页希望用易宝接入的朋友们留神.(注:银行卡类的充值方式是没有问题的，因为是引导到银行自己的支付页面上进行的，安全完全由银行自己负责)

最后:本文并无贬低易宝公司的意图，只是希望易宝公司尽快完善充值卡类支付渠道，以免给用户带来潜在风险。

转载于:https://www.cnblogs.com/yjmyzz/archive/2009/05/15/1457685.html

今天发现易宝(yeepay)充值卡类支付方式可能存在的安全漏洞!相关推荐

java在线支付---04_编写易宝支付的客户端加密工具类
2013/5/30 04_编写易宝支付的客户端加密工具类创梦综合技术qq交流群:CreDream:251572072 ---------------------------------------- ...
笔记：利用易宝第三方支付实现简单支付的功能
1. 易宝支付 1.1. 易宝介绍 2005年4月7日,北京通融通资讯技术有限公司正式推出易宝支付电子支付平台.易宝支付是国内领先的第三方电子支付服务提供商,创新推出集成了互联网.手机.电话的综合性电 ...
在线支付（易宝支付）
第三方支付方式:易宝支付. 支付过程图解: 相关资料: 易宝支付产品通用接口帮助文档点击打开链接使用步骤: ①src下面放入支付测试用的merchantInfo.properties(包含商 ...
支付入门-易宝支付实践
无意中发现了一个巨牛的人工智能教程,忍不住分享一下给大家.教程不仅是零基础,通俗易懂,而且非常风趣幽默,像看小说一样!觉得太牛了,所以分享给大家.点这里可以跳转到教程. 易宝支付的规范和流程 1)发起 ...
易宝支付[钱麦]（附代码）
想到支付首先要知道,就是调用以及回调接口. 1:准备工作导入易宝支付SDK.jar到自己公司私服(公司使用的nexus搭建私服操作如下) 查看/存储库:库(Repositories)----在对应的库 ...
传智播客--网上支付之易宝支付接入规范
今天我们学习网上支付的实现.这个功能在网上商城等交易平台上是基本的功能.实现起来不难,却很实用.我们很有必要掌握好今天学习的知识.运用到我们今后的工作中去. 1. 网上支付两种接入方案 --直接与银 ...
【SSH网上商城项目实战21】从Demo中看易宝支付的流程
这一节我们先写一个简单点的Demo来测试易宝支付的流程,熟悉这个流程后,再做实际的开发,因为是一个Demo,所以我没有考虑一些设计模式的东西,就是直接实现支付功能.实现支付功能需要易宝给我们提供的AP ...
java在线支付---06,07,08_在线支付_编写将数据提交给易宝支付的JSP页面,集成和测试向易宝发送支付请求,实现浏览器自动向易宝发送支付请求
06_在线支付_编写将数据提交给易宝支付的JSP页面 -------------------------------------------------------------- 1./payment ...
java在线支付---02_分析易宝支付的工作流程
2013/5/30 02_分析易宝支付的工作流程 Java技术qq交流群:JavaDream:251572072 ------------------------------------------- ...

今天发现易宝(yeepay)充值卡类支付方式可能存在的安全漏洞!

今天发现易宝(yeepay)充值卡类支付方式可能存在的安全漏洞!相关推荐

最新文章

热门文章