作者moon790625 (moon)
看板Bus
标题[新闻] 【独家】电脑天才又骇了 1元买车票提醒
时间Fri Nov 13 01:59:47 2015
2015/11/13 00:02 苹果日报
曾删除脸书创办人贴文、成功协助家属破解艺人杨又颖手机密码而声名大噪的台湾电脑天
才张启元，月前才以1元购票揭露统一ibon系统漏洞，上月底他又发现位居龙头的统联客
运，在金流系统上同样能以1元购票，他实际购票搭车，统联公司发现後以侵占罪向警方
备案，总经理强调：「统联没漏洞」，将保留法律追诉权，也强调绝对不会与张合作。
台湾电脑高手张启元（21岁）上月底以线上刷卡方式，购买统联台中往台北、1张要价220
元的票，他先在统联网站登记座位和票数，选择以信用卡付款後，再以浏览器的「开发者
模式」修改华南银行网站上的车票金额，让车票变成1元即可购得；随後，张实际搭车北上
，主动至统联柜台告知系统漏洞，统联则立即向辖区警方备案，双方都进了警局。
张启元指出，他月前发现统联购票系统中的「金流串接验证」有漏洞，票价尽管是交由信
用卡扣款，但统联不会发现金额已被修改，他仅是想提醒统联，才会使用违法票券；张表
示，若有心人士利用此漏洞取票，再拿到柜台退票，便可从中获利，以台北到高雄1张千
元的票价为例，若都修改成1元购票，一车近30个座位，手指一点就可轻松赚得3万多元。
统联客运总经理则强调，「是信用卡的漏洞，我们没有漏洞」，因张启元透过系统至华南
银行付款，变更程式将金额改成1元，认为张主要是更动华南银行的页面，与统联没有关
系，目前已通知银行，也向警方备案，将交由法务部门处理後续提告问题，至於是否考虑
与张合作来解决现有「金流验证」问题，他则以「跟张合作要去哪边钻漏洞吗？我想不会
吧！」（突发中心孔德廉、潘姵如／台北报导）
http://m.appledaily.com.tw/realtimenews/article/new/20151113/731514
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 36.238.16.1
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/Bus/M.1447351189.A.1CF.html
1F：→ yangmao: 先不论买票搭车的正当性 最後一句的观念是还在石器时代吗 11/13 02:19
2F：推 kigohcy: 华南的厂商惨了…柯柯 11/13 09:05
3F：→ kutkin: 人家帮你抓洞 还告人家 11/13 09:23
4F：→ enjoyyou: 因为正常买票流程不会去用到开发者工具改数据阿 11/13 09:27
5F：→ enjoyyou: 而他後面拿去搭车的行为 不符合阻却违法要件~~ 11/13 09:35
6F：推 MagicMoney: 台湾遇到抓漏洞的 先告再说 不然公司没面子 反观国外 11/13 10:10
7F：→ MagicMoney: 遇到这种事情 会积极争取人才 11/13 10:10
8F：推 abian746: 统联 不意外 11/13 10:32
9F：推 visa9527: 台湾以前也有写 CIH 病毒的，後来也去趋势了 11/13 10:36
10F：→ visa9527: 4F显然不清楚网站安全性测试就是要以不正常流程去测试 11/13 10:38
11F：→ visa9527: 不过他後面拿去搭车，被告活该，验证也不是这样验证的 11/13 10:38
12F：→ d2241400: 如果不搭车被告说不过，但是拿去搭车、使用，根本算图利 11/13 10:44
13F：→ d2241400: 嘛 11/13 10:44
14F：嘘 ultratimes: 这是公诉罪吧，告不告不是你统联说的算 11/13 10:48
15F：→ FantasyNova: CIH明明就是去技嘉做了好一阵子... 11/13 11:45
16F：→ acergame5: 台北到高雄一张千元? 哪来这麽贵的票 11/13 11:48
17F：→ enjoyyou: 我很清楚 也很清楚人家统联没请他做测试喔 而他的问题在 11/13 12:29
18F：→ enjoyyou: 拿去搭了 这才是问题 有获利犯罪行为 11/13 12:29
19F：推 Chieh333: 再厉害的程式都有人可以破啦，只是降低风险而已。 11/13 12:44
20F：→ hicker: 所以问题就在於 他把一元车票拿去实际搭车?? 11/13 13:14
21F：→ hicker: 若说经实际测试 一元车票到取票都没问题 以此证明漏洞存在 11/13 13:15
22F：→ hicker: 就到此为止 改将一元车票拿去退票并附上漏洞说明 11/13 13:16
23F：→ hicker: 这样还会有问题吗?? 11/13 13:16
24F：推 aa4live: 拜托一下 虽然他拿去搭车了 但他是主动找窗口提及这个问 11/13 13:23
25F：→ aa4live: 题 处理方法绝对比有比带去鸽舍半日游还好的吧..... 11/13 13:24
27F：→ coon182: 某几个推文证明台湾真是埋没人才的地方，呵 11/13 13:39
28F：→ hicker: 去看过了 感觉可以转过来 但能转过来吗?? 11/13 13:46
29F：→ enjoyyou: 好啦 没有犯意无罪 所以做什麽都可以 是吧? 11/13 15:50
30F：→ enjoyyou: 人家不理就可以犯法? 跟不听我的意见就打人有什麽两样 11/13 15:52
31F：→ enjoyyou: 他很厉害 自然会有人网罗 但选择做错的事就是要付代价阿 11/13 15:52
32F：→ enjoyyou: 我还是那句 这事没到阻却违法的程度 做了就是有错 11/13 15:55
33F：→ parislove3: 如果眼界只到这里 那的确没什麽好谈的 11/13 16:00
34F：→ parislove3: 相信也没看过事主的说法 11/13 16:01
35F：推 geesegeese: 拒搭统联这种公司，没有资讯竞争力 11/13 17:49
36F：嘘 jangjyyu: 真找人检测网路售票漏洞不知要花多少钱.统x还不知道感恩 11/13 18:17