凌晨两点十七分，何黑我盯着那个“XX速贷”的诈骗图标，手指在键盘上停了半秒。何黑这玩意儿昨天还躺在某个应用商店里，诈骗标榜“极速放款、何黑无抵押”，诈骗背地里干的何黑却是骗完手续费就消失的勾当。我决定把它拆了。诈骗

第一步不是何黑找漏洞，是诈骗找入口。诈骗app通常不会把服务器写在显眼的何黑地方，但总有蛛丝马迹——比如它的诈骗隐私政策页面，那个看似合规的何黑域名，有时候就藏着真实的诈骗API端点。我抓了下包，何黑果不其然，一个简陋的HTTP接口暴露了它的后台地址。没有HTTPS，连加密都懒得做，这种懒散让我有点想笑。

接着是逆向。apk拖进jadx，代码乱得跟垃圾堆似的，但垃圾堆里偶尔能翻出金子——一个硬编码的AES密钥，就躺在MainActivity的注释里，旁边还写着“别动这个，会崩”。我动了。解密了它的配置，发现后台有个未授权的接口，直接返回所有用户数据。姓名、身份证号、银行卡，甚至还有他们录的“手持身份证”视频，全裸奔在公网里。

我试着往那个接口塞了个注入语句，居然没过滤。不是那种复杂的SQL注入，就一个简单的单引号，它就吐出了整个数据库的表格结构。那一刻我有点恍惚，这帮人连最基本的参数化查询都没学，就敢出来骗钱，胆子是真肥。

然后我干了件比较损的事——改了它的回调地址。骗子的app通常会回传“客户是否上钩”的状态给同伙，我把那个URL换成了一个我控制的服务器，假装所有“受害者”都完成了转账操作。后台那边估计乐疯了，以为今晚进账几十万，实际上一个子儿都没到账。这种恶作剧式的干扰，比直接删库更有意思，因为能让它们白忙活一晚上，然后互相怀疑是不是内鬼。

最后，我把那个未授权接口的截图，连同数据库里几千条受害者信息，打包发给了反诈中心的公开举报邮箱。没留名，也没写废话，就一句“你们查查这个IP”。第二天再看，那个app已经从商店下架了，域名解析也断了，大概是被端了。

黑掉一个诈骗app不难，难的是忍住不拿那些数据去干坏事。我看着屏幕上那些受害者的名字，有的备注是“退休金”，有的备注是“给孩子看病”，心里挺不是滋味。你问我技术上有什么高招？没有，全是基础操作。真正的问题在于，为什么这种连入门级防御都没有的垃圾软件，能骗到那么多人的血汗钱。

我关掉电脑，把那个AES密钥的截图删了。留着没用，下一个诈骗app还是会用同样的破绽重新长出来。但至少今晚，那些躺在我服务器里的假数据，能让某个骗子团伙的KPI彻底泡汤。这感觉不赖，像在垃圾堆里踹了一脚，踢到了老鼠的尾巴。