※ 本文為 MindOcean 轉寄自 ptt.cc 更新時間: 2021-11-26 11:04:47
看板 Stock
作者 標題 Re: [請益]營業員打來詢問是否有買港股
時間 Fri Nov 26 03:40:13 2021
一般來說
手機下單軟體就是往後敲，webapi
其他裝置，基本上也是除了廣播行情會用socket以外其他這幾年應該都是api了，券商交
易
整個大架構也分前中後台
前台多半是處理，驗證跟下單的邏輯
成單後丟進中台送到證交所期交所去競價去了
然後回報進後台或是一樣中台處理，成交再發訊息，給用戶端跟自己做紀錄。
下單基本上，憑證，id(補充這裡會有數位簽章)然後會走一個訂閱制
成單就會透過系統往回送訊息，照上面推文的一些細節來看，駭客應該是用了軟體虛擬機
(就是我們程式設計在開發的有時候不會有手機
(就是我們程式設計在開發的有時候不會有手機
可以刷或是裝會用 軟體虛擬一個手機介面，或是他直接拿apk檔去刷機用)
然後不知道從哪裡盜來的憑證，可能是利用js的xss攻擊，這種就是很常會發生，作假的
網站或是真的網站利用js注入把你輸入進去登入資料
也順便轉一份到駭客js設定好的地方，很常發生在忘記密碼重登或是廣告信，中獎信這樣
。
(提醒 大家點或是登入前要注意網站網址跟logo)
再利用原始程式碼，編譯出來的執行檔搭配憑證下去操作，投資先生出來之前前是有點精
靈的app版
對server端來說他也不太會去檢查你這次是用什麼裝置，畢竟下單哪裡方便用哪裡，大概
就是做個紀錄在那邊下的。
只是，他怎麼知道那些複委託帳戶有資金，還是他真的就是暴力解每個帳號都試？
那今天應該會有很多人收到消息
然後我覺得他們應該是急著完成，沒得商量那種
因為他們沒有考慮成交回報得子系統會對同一個帳號不同裝置，統一發佈成交回報。
或者說，他們只想快點脫手? 不知道這錢現在跑去哪了。
我是很想知道他們怎麼知道那些帳戶裡面有錢，然後看起來，因為營業員都說看到是某個
app下單的，那應該是有能力買到或是拿到 舊的app程式碼的人。
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 223.140.75.4 (臺灣)
※ 文章代碼(AID): #1Xd-QV-j (Stock)
※ 文章網址: https://www.ptt.cc/bbs/Stock/M.1637869215.A.FAD.html
※ 同主題文章:
11-26 00:32 ■ [請益]營業員打來詢問是否有買港股
11-26 02:02 ■ Re: [請益]營業員打來詢問是否有買港股
● 11-26 03:40 ■ Re: [請益]營業員打來詢問是否有買港股
※ 編輯: neo5277 (223.140.75.4 臺灣), 11/26/2021 03:43:51
※ 編輯: neo5277 (223.140.75.4 臺灣), 11/26/2021 03:45:46
針對某隻想要買的做圈存？還是其實像期貨一樣
裡面要有保證金，如果是圈存不就代表這件事情
更大條....
※ 編輯: neo5277 (223.140.75.4 臺灣), 11/26/2021 03:53:17
但是也有可能完全不更新，沒壞就都沿用
但是如果是api有更版，然後駭客還知道那就...
主要也是沒想到憑證會被勾走吧
只能說根本黑暗騎士
我這篇算有股點嗎？
※ 編輯: neo5277 (223.140.75.4 臺灣), 11/26/2021 03:56:35
![[圖]]()
那這樣跟保證金一樣
不知道有沒有附委託裡面帳戶沒有錢的也被踹
如果有可能整份附委託的客戶名單跟憑證他都有
如果只是有資金的被踹，那TMD的問題就更大了
※ 編輯: neo5277 (223.140.75.4 臺灣), 11/26/2021 03:57:18
※ 編輯: neo5277 (223.140.75.4 臺灣), 11/26/2021 03:59:18
※ 編輯: neo5277 (223.140.75.4 臺灣), 11/26/2021 04:10:00
※ 編輯: neo5277 (223.140.75.4 臺灣), 11/26/2021 04:11:28
![[圖]]()
--
※ 編輯: neo5277 (223.140.75.4 臺灣), 11/26/2021 03:45:46
推 : 複委託要先圈存 元大的複委託有漏洞就可以偵測到了1F 11/26 03:50
沒用過附委託，他的流程上是針對某隻想要買的做圈存？還是其實像期貨一樣
裡面要有保證金，如果是圈存不就代表這件事情
更大條....
※ 編輯: neo5277 (223.140.75.4 臺灣), 11/26/2021 03:53:17
→ : 不然就是用自動程式去掃最大購買值確認金額也有可能2F 11/26 03:51
→ : 而且那個人還知道舊app還可以下單3F 11/26 03:53
理論上來說每版api或多或少都會更新但是也有可能完全不更新，沒壞就都沿用
但是如果是api有更版，然後駭客還知道那就...
主要也是沒想到憑證會被勾走吧
只能說根本黑暗騎士
我這篇算有股點嗎？
※ 編輯: neo5277 (223.140.75.4 臺灣), 11/26/2021 03:56:35
→ : 就扣款帳戶裡要有等值現金 那張買單才能成立4F 11/26 03:56
![[圖]](https://i4.disp.cc/imgur/g5LV7jd.jpg)
不知道有沒有附委託裡面帳戶沒有錢的也被踹
如果有可能整份附委託的客戶名單跟憑證他都有
如果只是有資金的被踹，那TMD的問題就更大了
※ 編輯: neo5277 (223.140.75.4 臺灣), 11/26/2021 03:57:18
※ 編輯: neo5277 (223.140.75.4 臺灣), 11/26/2021 03:59:18
※ 編輯: neo5277 (223.140.75.4 臺灣), 11/26/2021 04:10:00
※ 編輯: neo5277 (223.140.75.4 臺灣), 11/26/2021 04:11:28
推 : 銀行跟證券是分開的 所以要先解決問題有2 。1.該帳7F 11/26 04:19
→ : 戶有購買權限2.該帳戶有錢
→ : 所以兩方面大概都包了
→ : 戶有購買權限2.該帳戶有錢
→ : 所以兩方面大概都包了
→ : 照理說有圈存是不能動的 可是我把交割戶的錢都轉走10F 11/26 04:21
推 : 這很嚴重的資安問題，明天新聞沒報就扯了~~~11F 11/26 04:21
→ : 了 而且可以轉 現在交割戶餘額是0 看後續怎發展12F 11/26 04:21
→ : 仙股詐騙13F 11/26 04:47
→ : 很多
→ : 很多
推 : 樓上是不是沒搞懂在討論什麼15F 11/26 04:51
→ : 原文 後段被惡意亂下單16F 11/26 04:52
推 : 會不會元大有內鬼17F 11/26 05:04
→ : 元大會報案吧18F 11/26 05:10
推 : 這一定有內鬼配合吧？19F 11/26 05:37
推 : 詐騙太慢了 直接搬20F 11/26 06:56
推 : 不用知道帳戶有沒有錢啊，腳本寫好，全部帳戶都下21F 11/26 07:11
→ : 單，沒錢就失敗而已，一個個去找有沒有錢也太浪費
→ : 時間
→ : 單，沒錢就失敗而已，一個個去找有沒有錢也太浪費
→ : 時間
推 : 這沒有內部人才奇怪吧24F 11/26 07:11
推 : 感覺有很大問題 這新聞是大事25F 11/26 07:13
推 : 怎麼可能單獨詐騙，駭客直接進後台好嗎26F 11/26 07:19
→ : 當駭客很閒喔
→ : 分開沒錯，但是我不信你三家密碼會用不同的XD
→ : 當駭客很閒喔
→ : 分開沒錯，但是我不信你三家密碼會用不同的XD
推 : 元大有內鬼的意思？幹.....各位塊陶啊29F 11/26 07:21
→ : 元大中出了內鬼...？30F 11/26 07:24
![[圖]](https://i4.disp.cc/imgur/klEnTe6h.jpg)
推 : 都7:30了 還沒新聞媒體報導…？33F 11/26 07:31
推 : 一定公關在壓34F 11/26 07:32
推 : 超大新聞竟然連一個毛都還沒看到35F 11/26 07:39
推 : 請問這可以自己去警察局報警嗎？36F 11/26 07:41
→ : 為什麼只有元大出事情？ 最有可能的就是元大後台，37F 11/26 07:48
→ : 有人有超級權限，直接下單，我不相信證券下單交易
→ : 密碼，有那麼好破解，同時間多人被駭
→ : 有人有超級權限，直接下單，我不相信證券下單交易
→ : 密碼，有那麼好破解，同時間多人被駭
推 : 說不定真正目的是放空元大40F 11/26 07:52
推 : 重點是密碼或憑證到底怎麼流出的吧？如果只是釣魚41F 11/26 08:13
→ : 那還好，樹大招風被針對元大也沒什麼責任；如果是
→ : 被xss或api來回有漏洞能拿到機密資訊，就比較糟糕
→ : 。有沒有內鬼還不好說，要側錄加密的api應該是不需
→ : 要拿到原始碼的
→ : 那還好，樹大招風被針對元大也沒什麼責任；如果是
→ : 被xss或api來回有漏洞能拿到機密資訊，就比較糟糕
→ : 。有沒有內鬼還不好說，要側錄加密的api應該是不需
→ : 要拿到原始碼的
推 : 好可怕 好險我沒有46F 11/26 08:15
推 : 這個真的扯耶...47F 11/26 08:19
推 : 密碼流出就不是買港股這麼簡單了？48F 11/26 08:21
推 : 資安長一上任就出事？49F 11/26 08:23
→ : 其實如果他能操作港股，理論上應該台股也可以
→ : 其實如果他能操作港股，理論上應該台股也可以
→ : 買台股那超恐怖誒==51F 11/26 08:25
→ : 買港股是攻擊者套現方便吧 ==52F 11/26 08:35
推 : 台股理論上比較不會被這樣搞,因為是T+1,下單到交割53F 11/26 08:38
→ : 有時間差,除非券商沒有任何主動成交回報的管道(抱怨
→ : 一下,某基證券就沒有email交割憑單),不然被駭客偷下
→ : 單,當天傍晚前會收到通知,回報券商發現駭客後中止交
→ : 割程序駭客就拿不到錢了. 反而圈存制且交易所在國外
→ : 有時間差,除非券商沒有任何主動成交回報的管道(抱怨
→ : 一下,某基證券就沒有email交割憑單),不然被駭客偷下
→ : 單,當天傍晚前會收到通知,回報券商發現駭客後中止交
→ : 割程序駭客就拿不到錢了. 反而圈存制且交易所在國外
推 : 搞台股沒用阿....台灣好抓XD58F 11/26 08:41
→ : 港股現在是三不管地帶....
→ : 港股現在是三不管地帶....
→ : 錢被幹走去下單,一旦成交且交割後才發現,駭客可能錢60F 11/26 08:41
→ : 都移轉走了
→ : 都移轉走了
→ : 出事了62F 11/26 08:42
→ : 更正,T+2才對63F 11/26 08:42
噓 : 八卦沒人爆掛？64F 11/26 08:45
→ roger1976 …
→ : 元大不可能沒責任因為 軟體問題 除非證明中國品牌手66F 11/26 08:50
→ : 機 盜竊密碼 屬消費者過失
→ : 機 盜竊密碼 屬消費者過失
推 : 搞台股沒用吧，錢要T+2才會轉走，被盜的發現了就把68F 11/26 09:05
→ : 帳戶錢轉走就好了
→ : 帳戶錢轉走就好了
推 : 最好笑的是 成交事實明確 用客戶的帳號 現在沒有新70F 11/26 09:10
→ : 聞報導 哈哈
→ : 聞報導 哈哈
→ : 先看元大金有沒有發布重大訊息,記者不敢報就算了,但72F 11/26 09:23
→ : 是這種應該要申報重大訊息
→ : 是這種應該要申報重大訊息
推 : 新資安長才剛上任…74F 11/26 09:25
→ : 目前元大金跌幅是高於金融類股,一定還有散戶股東不75F 11/26 09:25
→ : 知道為什麼
→ : 知道為什麼
推 : 你想捅元大的話，就向金管會檢舉就可以了。沒發重77F 11/26 09:30
→ : 訊處理上有問題
→ : 訊處理上有問題
推 : 這夠大條誒誰去申訴一下吧？79F 11/26 09:46
→ : 元大投資先生app現沒辦法下載80F 11/26 09:54
推 : 一起空元大金吧？81F 11/26 10:14
推 : 金管會跟元大之前原油正二不就表演給你看了82F 11/26 10:16
→ : 金管會只有空管月曆而已~~其他不關他的事情
→ : 金管會只有空管月曆而已~~其他不關他的事情
--
※ 看板: Stock 文章推薦值: 2 目前人氣: 0 累積人氣: 1115
回列表(←)
分享