山东石油的山东石油加油系统，最近爆出一个让人后背发凉的加油漏洞。不是系统那种理论上的“可能被攻击”，而是漏洞实打实的——有人拿着伪造的电子油卡二维码，在济南三家加油站连刷了八次，山东石油加满油箱就走，加油系统愣是系统没识别出来。账单最后对不上，漏洞油库盘点差了四千多升，山东石油才把这事翻出来。加油 漏洞出在哪儿？系统说出来你可能不信，是漏洞“时间戳校验”那层皮太薄。正常来说，山东石油每张电子油卡生成的加油动态二维码，有效期只有90秒，系统过了就得重新生成。但山东石油的这套系统，后台只验证二维码里的卡号和金额，对时间戳的检查居然是个“软校验”——也就是前端页面提示过期，但后端接口根本不强制拒绝。黑客只要抓包截获一个有效二维码，改掉里面的过期时间字段，就能无限复用。 我找了个做安全测试的朋友聊了聊，他说这属于典型的“业务逻辑漏洞”，比SQL注入那种老套路低级得多，但危害反而更大。因为传统漏洞要绕过防火墙，这个直接走正常业务流程，就像你拿着昨天的电影票根，把日期涂改成今天，检票员看了一眼票面就放你进去——因为闸机只扫条形码，不连数据库查场次。 更麻烦的是，这个漏洞不是单一入口。山东石油的加油App、微信小程序、甚至部分合作加油站的自助终端，用的是同一套底层接口。也就是说，一个漏洞，三个入口全中招。加油站员工发现异常时，黑客早把油卖了，而且用的是不同车牌、不同手机号注册的账号，根本追不到人。 我查了下，山东石油的这套系统是2021年上线的，当时宣传“三重加密、动态令牌”，听着挺唬人。但实际部署时，为了省服务器开销，把动态校验的逻辑全放在前端JS里，后端只存了个静态密钥。这种“省成本省出安全债”的做法，在国企系统里不算罕见。前年某省电力公司的缴费系统也出过类似问题，用户改一下请求参数就能把电费改成0.01元。 说到底，这不是技术多高深的问题，是流程设计上偷了懒。安全测试如果做得稍微认真点，用Burp Suite随便改个时间戳发个请求，就能发现漏洞。但现实是，很多系统上线前的“渗透测试”就是走个过场，报告写得漂亮，实际上连基本的越权测试都没跑全。 现在山东石油发了公告，说已经“紧急修复”，并补偿了受影响的油站。但问题是，这种修复是打补丁还是重构逻辑？如果只是把时间戳改成硬校验，那下次黑客换个思路，比如直接篡改卡号字段呢？系统里有没有做签名验证？这些都没说清楚。 油站这种基础设施，安全底线应该比普通商业系统高得多。但现实是，越是这种“不会出大事”的认知，越容易埋雷。加油系统连着支付通道、库存管理、会员数据，一旦被攻破，不只是丢几桶油的事。这次是刷油卡，下次呢？如果漏洞被用来改油价、篡改交易记录，那账面上的窟窿可能几年都查不出来。 话说回来，这次漏洞被曝出来，反而是好事。至少让其他省份的石油系统开始自查了。我听说中石化已经在内部发通知，要求检查所有动态码校验逻辑。但愿这不是又一次“亡羊补牢”的公关话术，而是真把安全测试当回事了。毕竟，加油枪后面连着的是真金白银，不是虚拟币。