IAP破解经历小计

      最近几天，发现平台上出现一个大R用户，在3天内通过IOS手机客户端充值3W+RMB。一开始大家都比较兴奋，但是后来在后台订单系统发现了存在着多笔重复的订单号。首先是怀疑出现了客户端重复提交的问题，导致有些充值记录是无效的。而在解决了这个问题之后，又在昨天发现多笔充值记录的时间有问题，在1秒内向苹果验证了10条交易收据，并且在苹果提供的6-4账单里并没有找到该大R的扣费记录。

    于是，去查询我们记录的苹果接口https://buy.itunes.apple.com/verifyReceipt返回的验证结果，终于发现问题。如下图

 产品ID和交易时间都不正确。。再到网上搜寻相关资料，确定为ipa破解攻击。

 

    基本流程如下：

1.用户通过非法手段/插件，拦截了IOS客户端向苹果发起的交易请求，并返回一笔2012年的订单交易收据给客户端

2.客户端将这笔订单交易收据当做当前交易的收据发送给服务器，服务器交由苹果验证，得到验证通过的结论，最后通知客户端充值成功并为用户增加金币

3.貌似只有破解版的客户端才可以这么做

 

    解决方案，当然是在服务器端交由苹果验证通过后对验证结果增加层层判断。不过，苹果提供的这个验证接口看来就是个历史订单查询器，这点倒是之前一直没有想到过的。

 

评论

3 楼 huqinyu 2013-10-22  

顺便说下 我是在逛论坛的时候 看到你在讨论一个 exist 和in的留言 真巧

2 楼 huqinyu 2013-10-22  

老冯，偶遇哈，留个脚印。你写的都粗略看了下，有文采哦~~~，比较巧的是，我也用flex groovy 那些，貌似时间都一样 汗。。。本来我没想到自己会走技术这条路的，但是这几年下来，貌似成了技术在背后推着我走！！！！！真没意思 我现在玩的都是些简单的东西，想再加深下都没机会。

1 楼 cp1001 2013-07-29  

验证接口如果是个历史订单查询器，这还真是个很好的刷钱漏洞。不过应该有订单的完成状态吧，服务器根据状态验证下