去年冬天，开奖一个做前端的网址朋友半夜给我发消息，说他在GitHub上扒到一套开奖网址的源码源码，跑起来之后发现后台数据库里躺着三万多条用户投注记录，开奖连加密都没做。网址他问我这算不算违法，源码我说你先把本地服务关了，开奖咱们慢慢聊。网址

这套源码本身不复杂。源码核心就三个文件：一个定时抓取官方彩票数据的开奖爬虫脚本，一个用PHP写的网址开奖结果展示页面，还有一个用Ajax轮询更新号码的源码前端逻辑。真正要命的开奖是第四個文件——一个叫config.php的东西，里面硬编码了数据库账号密码，网址还有一套后台管理入口，源码默认用户名admin，密码123456。

我后来自己搭了一套环境测试。源码跑起来第一件事是去某个境外博彩数据接口拉最新一期开奖号码，格式是JSON，字段包括issue、numbers、openTime。爬虫每30秒请求一次，如果发现期号变了，就写进本地MySQL，同时触发一个WebSocket推送。前端页面收到推送后，用CSS动画把中奖号码一个个翻出来，配合音效，看起来挺像那么回事。

但问题出在“看起来像”这三个字上。我对比了源码里拉取的官方数据和真实官网的开奖结果，发现有三期号码完全对不上。不是延迟，是数字本身不一样。后来翻源码的Git提交记录才看到，有人在fetch_data.php里加了一段逻辑：如果接口返回的号码和本地某个数组不匹配，就用本地数组覆盖。那个数组写死在代码里，注释写着“测试用”。

这就有意思了。一套开奖网址源码，最核心的功能不是展示真实结果，而是展示“你想让它展示的结果”。我顺着源码里的域名和IP查了一下，发现这套代码至少被部署在四十多个不同域名的网站上，界面皮肤换一换，有的叫“XX彩票”,有的叫“XX娱乐”,后台数据库结构一模一样。

更离谱的是用户系统。源码里有一个user_balance表，记录每个用户的余额和投注流水。充值接口调的是第三方支付，但回调验证只检查了一个sign参数，而sign的生成规则写在源码注释里：md5(amount + secret),secret是空字符串。也就是说，任何人只要知道这个规则，就能伪造充值成功通知，给自己账户加钱。我试了一下，把amount改成10000,构造一个请求发给本地服务，余额真的从0变成了10000。

这套源码在网上的传播路径也很典型。最早出现在一个叫“源码之家”的论坛，发帖人标题写的是“最新彩票开奖系统，带完整后台，可运营”。底下跟帖两百多条，一半在问“能不能对接自己的支付”,另一半在问“数据是实时的吗”。发帖人只回复了一句：“数据接口自己换，代码里有注释。”

我盯着那句回复看了很久。一个开奖网址，数据接口可以自己换，那开奖结果到底是谁说了算？源码里那个被注释掉的fake_numbers数组，到底是测试遗留，还是故意留的后门？没人知道。但我知道的是，那三万多条投注记录里，每一笔都对应着一个真实的人，他们以为自己看到的是官方开奖，实际上看到的是一段PHP代码从某个数组里随机取出来的数字。

朋友最后没报警。他把源码打包删了，换了个项目做。我问他为什么，他说：“这东西技术上没什么难度，难的是你明知道它在骗人，却找不到一个具体的受害者来立案。”他顿了顿，又说：“那些投注记录里的IP，全是东南亚的。”

我把测试环境里的数据库清空，关掉服务。浏览器标签页还开着那个前端页面，号码翻牌动画停在最后一帧，五个数字整整齐齐排在那里，像什么都没发生过。