鲤鱼ace解说游戏安全漏洞

凌晨三点，鲤鱼鲤鱼ace的说游直播间还亮着。他正对着《幻境突围》的戏安商城界面，手指在键盘上敲出一串十六进制代码——这不是全漏外挂，是鲤鱼游戏客户端里一个没锁死的调试接口。观众看着他调出一个隐藏面板，说游上面赫然显示着“充值金额：0”的戏安字段，旁边还有个可编辑的全漏输入框。

“看好了，鲤鱼别眨眼。说游”鲤鱼ace输入了“99999”，戏安点击确认。全漏系统弹窗提示“支付成功”，鲤鱼但账户余额纹丝不动。说游他笑了：“这游戏的戏安钱包系统就是个摆设，前端校验形同虚设，后端压根没验证金额来源。”弹幕瞬间炸了，有人刷“卧槽”，有人问“能教吗”，更多的人在刷“举报了”。鲤鱼ace没理这些，直接关掉调试面板，切回正常游戏界面。

这事发生在两周前。今天他再次开播，第一件事就是打开《幻境突围》的更新公告——官方声称修复了“若干支付漏洞”。鲤鱼ace没急着下结论，他重新调出那个调试接口，发现输入框还在，只是多了个“金额必须大于0”的JS校验。他绕过前端脚本，直接向后端发送构造好的数据包，充值成功，余额还是没变。

“修了个寂寞。”他对着镜头摊手，“他们只堵了最表层的那条路，但后端根本没做幂等性检查。我发十次请求，每次都能触发‘支付成功’的回调，只是不写进数据库罢了。真正的漏洞是——如果我把订单号的校验逻辑反过来，用负数金额冲抵，说不定能刷出负余额，然后系统会把我判定为‘欠费账号’，直接封禁。但封禁前，我可以用这负余额去兑换道具，兑换接口可没检查余额正负。”

说着他真去试了。兑换商店里的限定皮肤，系统提示“余额不足”，但鲤鱼ace发现提示信息里带着他的当前余额数值——一个负的六位数。他立刻截图：“看到没？这是典型的错误信息泄露。攻击者能通过这个接口穷举出所有用户的余额状态，甚至能推断出充值流水。”直播间里有人开始刷礼物，鲤鱼ace没收，他点开游戏客服页面，把漏洞详情写了封邮件发过去。

“我干这行五年了，见过太多厂商把安全当装饰品。”他喝了口凉透的咖啡，“《幻境突围》的团队明显把精力全放在美术和玩法上，后端代码写得像刚毕业的实习生——所有接口都返回完整错误堆栈，连SQL查询语句都原样吐出来。上周我还发现他们的日志系统没做脱敏，玩家ID、手机号、充值记录全明文存在本地缓存里，随便一个越权请求就能拉走整个表。”

说到这他顿了顿，切出游戏画面，调出一个文件夹：“这是我整理的部分漏洞证据，已经提交给他们的安全响应中心了。但你们猜怎么着？三天了，连个自动回复都没有。反倒是官方论坛上，有玩家反馈说自己的账号被异地登录，装备被洗劫一空——那大概率就是通过我发现的越权接口干的。”

鲤鱼ace关掉文件夹，重新打开游戏：“我不做坏事，但我会把漏洞公之于众。厂商不重视，那就让玩家来监督。今天演示的这些都是无害的——我没刷任何道具，没动别人账号，只是证明‘我能做到’。真正危险的漏洞我压在手里，等他们安全团队主动联系我。如果一个月还没动静，我就把完整技术细节发到安全社区去。”

他看了眼弹幕，有人问“你不怕被起诉吗”。鲤鱼ace笑了笑：“怕啊，所以我把所有操作都录屏留证了。但游戏安全这东西，就像你家门锁——你装个指纹锁，不代表小偷撬不开，只是提高了他作案的成本。我干的是告诉房主‘你的锁有瑕疵’，而不是趁夜搬空他家。至于厂商怎么选，是他们的事。”

直播结束前，鲤鱼ace又检查了一遍那个调试接口，发现它已经被彻底关闭了。他点点头：“至少这次他们知道改端口了。但下一个漏洞，可能藏在某个不起眼的道具合成公式里。我明天再找找看。”