给大家曝光一个EzLink的auto-top漏洞

clarachen2 · 发表于 19-6-2017 09:45:25|来自：新加坡

不如你再试一次吧, 反正这么轻轻松松. 这次试一笔大的, 成功了又没麻烦, 就在这分享一下, 我们跟着弄 :)

ysome · 发表于 19-6-2017 09:50:16|来自：新加坡

clarachen2 发表于 19-6-2017 09:45
不如你再试一次吧, 反正这么轻轻松松. 这次试一笔大的, 成功了又没麻烦, 就在这分享一下, 我们跟着弄 :) ...

我又没打算靠这个骗钱，就想看看EzLink啥时候冻结我的卡
也许他们财大气粗，根本不在乎这点钱，也不想堵这个漏洞。

千股涨停 · 发表于 19-6-2017 09:53:26|来自：新加坡

其实这也不是什么大事，用来牟利更是天方夜谭。试想一下某个人信用卡过期了销卡了，但是还在不停的花自动top up的ezilink，你以为ezilink搞不定你？

clarachen2 · 发表于 19-6-2017 09:55:25|来自：新加坡

ysome 发表于 19-6-2017 09:50
我又没打算靠这个骗钱，就想看看EzLink啥时候冻结我的卡
也许他们财大气粗，根本不在乎这点钱，也不想堵这 ...

那你曝光这 "漏洞" 目的是想

(1) 提醒我们去骗这个钱,
(2) 通知那些 "骗子"这个新手法,
(3) 炫耀自己发现了个漏洞
(4) 还是提醒官方 ?

破小孩 · 发表于 19-6-2017 09:58:51|来自：新加坡

lz 快去用ezlink买车买房踏上人生巅峰

ysome · 发表于 19-6-2017 10:49:38|来自：新加坡

clarachen2 发表于 19-6-2017 09:55
那你曝光这 "漏洞" 目的是想

(1) 提醒我们去骗这个钱,

确实是炫耀吧。
其实也不是炫耀，就是发现这么个事不说出来就难受。

千股涨停 · 发表于 19-6-2017 14:03:43|来自：新加坡

ysome 发表于 17-6-2017 23:20
就算改成低于5块才top-up也没用呀，EzLink反应没这么快。
每次充值多少是可以设的，打算恶意利用漏洞的话 ...

我的意思是，现在ezilink的做法是一旦在进站刷卡的时候发现余额不足支付本次旅程，就自动给你top up，然后再去联系信用卡中心扣款。目的就是为了更顺畅的用户体验，不至于把用户给卡在闸机外。如果有人利用这个漏洞，那么ezilink完全可以在余额不多但是可以支付本次旅程的时候就先联系信用卡中心扣款，得到信用卡中心确认之后，再把钱加到ezilink里面。

ysome · 发表于 19-6-2017 15:04:52|来自：新加坡

千股涨停发表于 19-6-2017 14:03
我的意思是，现在ezilink的做法是一旦在进站刷卡的时候发现余额不足支付本次旅程，就自动给你top up，然 ...

我当然明白你的意思，但前提也要EzLink及时发现扣款失败，及时冻结EzLink，及时联系信用卡公司......一切都要及时。自动充值时为了体验顺畅当然不能傻等喜用卡公司的扣款结果，但之后在发现扣款失败时要及时把误充的钱扣掉或者冻结。这在技术上确实是做得到的，也不会影响用户体验。

而实际情况是EzLink并没有及时发现，及时处理。错误已经发生好几天了，卡都刷了n次了依然还可以用。

如果做不到及时发现及时处理的话，就算改成余额不足10块就top-up都没用。