文章总结： 本文是对仿冒闲鱼、转转、交易猫等平台的假客服系统进行的代码审计，发现了前台和后台多处SQL注入漏洞以及登录逻辑漏洞。通过这些漏洞，作者成功获取了后台访问权限，能够获取诈骗相关信息、访客数据、聊天记录等关键信息，为溯源诈骗分子提供了线索。文章建议加强对用户输入的过滤和验证，以及改进登录认证机制。
综合评分： 87
文章分类： 代码审计,漏洞分析,WEB安全,实战经验,应急响应
记一次（咸鱼、转转、交易猫）“假客服” 系统的代码审计
原创
大荒Sec
太乙Sec实验室
2025年6月16日 14:20
江苏
免责声明：本公众号 太乙Sec实验室所提供的实验环境均是本地搭建，仅限于网络安全研究与学习。旨在为安全爱好者提供技术交流。任何个人或组织因传播、利用本公众号所提供的信息而进行的操作，所导致的直接或间接后果及损失，均由使用者本人负责。太乙Sec实验室及作者对此不承担任何责任
实验背景
近年来，仿冒闲鱼、转转、交易猫等平台的虚假客服系统频发，不法分子通过伪造订单异常、诱导支付等手段实施诈骗。本次针对某 “假客服” 系统源码进行代码审计，旨在分析其安全漏洞，揭示诈骗技术原理
例如，某二手 APP 卖家收到 “买家” 私信称订单异常，需联系 “客服”。扫码后，“客服” 以开通授权、服务等理由，诱使卖家先后支付 3000 元、8000 元，卖家最终发现被骗。
新闻
这里源码，我就随便找一个最近几年比较新的一个仿咸鱼、转转、交易猫 “假客服”系统。对源码进行代码审计。
（注：本实验在虚拟环境，严禁在生产环境进行类似操作）
前台Sql注入漏洞
网站首页存在注入
$h_user = getUserIP();$rs = $db->get_one("select count(*) as tj from `h_kefu` where h_user = '{$h_user}'...");
可通过伪造HTTP头（如X-Forwarded-For）注入恶意SQL
sqlmap.py -r 1.txt
后台存在Sql注入
通过相关信息，定位到文件
后台存在的注入还是比较多的，user参数进行过滤，导致sql注入
<?phprequire_once '../include/conn.php';require_once '';
$h_user = $_GET['user'];$query = "select * from `h_kefu` where h_user = '{$h_user}' and h_who = 1 and h_isread = 0 order by h_addTime asc,id asc limit 1";$result = $db->query($query);while($rs_list = $db->fetch_array($result)){
if($rs_list){ $setRead = 'update h_kefu set h_isread = 1 where id='.$rs_list['id']; $db->query($setRead); echo json_encode($rs_list['h_content']); }
}?>
逻辑漏洞
通过匹配关键词定位到文件header.php
这个是验证用户登录的文件配置
<?php// 从 Cookie 中获取登录的用户名和密码$LoginEdUserName = $_COOKIE['h_userName'];$LoginEdPassWord = $_COOKIE['h_passWord'];
// 从数据库中查询管理员配置信息，检查用户名和密码是否匹配$rs88 = $db->get_one("select * from `h_kefu_config` where h_admin = '{$LoginEdUserName}' and h_pass = '{$LoginEdPassWord}' LIMIT 1");
// 如果查询结果为空，表示用户名或密码不匹配，提示用户并跳转到登录页面if (!$rs88) { HintAndTurnTopFrame("欢迎登录后台管理系统！", "index.php"); exit();}
// 从数据库中查询登录记录，检查用户是否已登录且 IP 地址匹配$rs99 = $db->get_one("select * from `h_kefu_login` where h_user = '{$LoginEdUserName}' and h_ip = '" . getUserIP() . "'");
// 如果查询结果为空，表示用户未登录或 IP 地址不匹配，提示用户并跳转到登录页面if (!$rs99) { HintAndTurnTopFrame("您未登录成功，请您重新登录！", "index.php"); exit();}
从数据库中查询管理员配置信息，检查用户名和密码是否匹配
$rs88 = $db->get_one("select * from `h_kefu_config` where h_admin = '{$LoginEdUserName}' and h_pass = '{$LoginEdPassWord}' LIMIT 1");
这里直接构建exp
<td>访客账号</td> <td>聊天内容</td> <td>发送者</td> <td>发送者IP</td> <td>发送时间</td> <td>相关操作</td>
取证
通过以上漏洞即登录后台，获取诈骗链接相关信息，以及访客账号、聊天内容、发送者身份、发送者IP地址、消息发送时间以及操作相关，可以落地相关人员信息
后台存储的用户交互数据则为溯源诈骗分子提供了关键线索。此类 “假客服” 系统利用技术漏洞与用户信任实施诈骗
往期精彩回顾
关注我，了解更多知识，别忘了关注+点赞哦！
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：太乙Sec实验室 大荒Sec《记一次（咸鱼、转转、交易猫）“假客服” 系统的代码审计》