[新聞] 【獨家】電腦天才又駭了 1元買車票提醒

[moon790625 (moon)]

2015/11/13 00:02 蘋果日報

曾刪除臉書創辦人貼文、成功協助家屬破解藝人楊又穎手機密碼而聲名大噪的台灣電腦天
才張啟元，月前才以1元購票揭露統一ibon系統漏洞，上月底他又發現位居龍頭的統聯客
運，在金流系統上同樣能以1元購票，他實際購票搭車，統聯公司發現後以侵占罪向警方
備案，總經理強調：「統聯沒漏洞」，將保留法律追訴權，也強調絕對不會與張合作。

臺灣電腦高手張啟元（21歲）上月底以線上刷卡方式，購買統聯臺中往臺北、1張要價220
元的票，他先在統聯網站登記座位和票數，選擇以信用卡付款後，再以瀏覽器的「開發者
模式」修改華南銀行網站上的車票金額，讓車票變成1元即可購得；隨後，張實際搭車北上
，主動至統聯櫃台告知系統漏洞，統聯則立即向轄區警方備案，雙方都進了警局。

張啟元指出，他月前發現統聯購票系統中的「金流串接驗證」有漏洞，票價儘管是交由信
用卡扣款，但統聯不會發現金額已被修改，他僅是想提醒統聯，才會使用違法票券；張表
示，若有心人士利用此漏洞取票，再拿到櫃檯退票，便可從中獲利，以台北到高雄1張千
元的票價為例，若都修改成1元購票，一車近30個座位，手指一點就可輕鬆賺得3萬多元。

統聯客運總經理則強調，「是信用卡的漏洞，我們沒有漏洞」，因張啟元透過系統至華南
銀行付款，變更程式將金額改成1元，認為張主要是更動華南銀行的頁面，與統聯沒有關
係，目前已通知銀行，也向警方備案，將交由法務部門處理後續提告問題，至於是否考慮
與張合作來解決現有「金流驗證」問題，他則以「跟張合作要去哪邊鑽漏洞嗎？我想不會
吧！」（突發中心孔德廉、潘姵如／台北報導）

http://m.appledaily.com.tw/realtimenews/article/new/20151113/731514

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 36.238.16.1
※ 文章網址: https://www.ptt.cc/bbs/Bus/M.1447351189.A.1CF.html
→ yangmao: 先不論買票搭車的正當性 最後一句的觀念是還在石器時代嗎
推 kigohcy: 華南的廠商慘了…柯柯
→ kutkin: 人家幫你抓洞 還告人家
→ enjoyyou: 因為正常買票流程不會去用到開發者工具改數據阿
→ enjoyyou: 而他後面拿去搭車的行為 不符合阻卻違法要件~~
推 MagicMoney: 台灣遇到抓漏洞的 先告再說 不然公司沒面子 反觀國外
→ MagicMoney: 遇到這種事情 會積極爭取人才
推 abian746: 統聯 不意外
推 visa9527: 台灣以前也有寫 CIH 病毒的，後來也去趨勢了
→ visa9527: 4F顯然不清楚網站安全性測試就是要以不正常流程去測試
→ visa9527: 不過他後面拿去搭車，被告活該，驗證也不是這樣驗證的
→ d2241400: 如果不搭車被告說不過，但是拿去搭車、使用，根本算圖利
→ d2241400: 嘛
噓 ultratimes: 這是公訴罪吧，告不告不是你統聯說的算
→ FantasyNova: CIH明明就是去技嘉做了好一陣子...
→ acergame5: 台北到高雄一張千元? 哪來這麼貴的票
→ enjoyyou: 我很清楚 也很清楚人家統聯沒請他做測試喔 而他的問題在
→ enjoyyou: 拿去搭了 這才是問題 有獲利犯罪行為
推 Chieh333: 再厲害的程式都有人可以破啦，只是降低風險而已。
→ hicker: 所以問題就在於 他把一元車票拿去實際搭車??
→ hicker: 若說經實際測試 一元車票到取票都沒問題 以此證明漏洞存在
→ hicker: 就到此為止 改將一元車票拿去退票並附上漏洞說明
→ hicker: 這樣還會有問題嗎??
推 aa4live: 拜託一下 雖然他拿去搭車了 但他是主動找窗口提及這個問
→ aa4live: 題 處理方法絕對比有比帶去鴿舍半日遊還好的吧.....
噓 coon182: #1MHCwv1_ (Gossiping) 自己本人出來澄清要不要去看？
→ coon182: 某幾個推文證明台灣真是埋沒人才的地方，呵
→ hicker: 去看過了 感覺可以轉過來 但能轉過來嗎??
→ enjoyyou: 好啦 沒有犯意無罪 所以做什麼都可以 是吧?
→ enjoyyou: 人家不理就可以犯法? 跟不聽我的意見就打人有什麼兩樣
→ enjoyyou: 他很厲害 自然會有人網羅 但選擇做錯的事就是要付代價阿
→ enjoyyou: 我還是那句 這事沒到阻卻違法的程度 做了就是有錯
→ parislove3: 如果眼界只到這裡 那的確沒什麼好談的
→ parislove3: 相信也沒看過事主的說法
推 geesegeese: 拒搭統聯這種公司，沒有資訊競爭力
噓 jangjyyu: 真找人檢測網路售票漏洞不知要花多少錢.統x還不知道感恩