ofo现重大漏洞
信息安全公益宣传，信息安全知识启蒙。
加微信群回复公众号：微信群；QQ群：16004488
4月20日，上海市公安局通报一起通过企业红包软件套取50万奖励的违法行为，29名嫌疑人被抓捕。而这种被称为 " 薅羊毛 " 的行为，法律界人士认为，已经涉嫌诈骗。
共享单车发展至今，" 百车大战 " 时期已经过去，目前大势是 ofo 与摩拜争锋相对：3 月 23 日，摩拜推出 " 红包车 "，骑红包车可获得 1-100 元现金红包。4 月 16 日，ofo 宣布加入共享单车红包大战，宣称 " 在红包区域内开始骑车，最高 5000 元红包等你拿 !"
哪里有补贴，哪里就有“羊毛党”。在网约车行业渐渐减少补贴之后，“羊毛党”的目光转移到了被资本热捧的共享单车行业。OFO小黄车由于使用的是老式机械锁，也没有定位功能，自然而然的成为了羊毛党的目标。
Ofo成羊毛党的“衣食父母”
“快点，武汉的红包车来了。”4月24日11时，知名“羊毛党”论坛“赚客吧”上有用户发帖告知“ofo在武汉有红包车了，快来薅。” 4月16日，ofo推出“骑小黄车抢现金红包”活动之后，就被“羊毛党”形容为“衣食父母”，自称每日盈利上万元的大有人在。
然而，活动初期一次骑行奖励数十元、数百元的运气似乎没有了，多个用户在这个帖子留言称“只有1块多”，大多“羊毛党”调侃“只是做到了免费乘车而已”。还有多个帖子留言称“今天的红包全是1分钱，被‘反薅’了一把”。当然，也有“因为被系统认定恶意刷单套取红包，被系统判定违规，连押金都没法退”。
“这两天，ofo公司开始打击，很多人都‘下车’了”，资深业内人士郑小可(化名)告诉记者：“前几天，玉米平台上一大堆卡商对接，今天陆续都下线了，项目ID都已经关闭了。
”玉米是羊毛党常用“接码平台”，羊毛党使用手机号批量注册时，可以从该平台提取手机号、短信验证码。郑小可向记者出示的数张截图显示，在玉米接码平台上，ofo对接项目ID号为4356。在玉米接码平台的交流群中，其中一个卡商号称“10万卡，每月新增5万张卡，实力对接ofo”。
“薅ofo，几乎没任何难度，所有的技术，在当初刷Uber的时候就已经成熟了”，郑小可表示，“比起Uber来，薅ofo太简单了。”ofo的现金红包活动要求在指定红包区域内解锁车辆，骑行10分钟、距离500米以上，骑行结束、结账之后可以领取现金红包。
“首先，ofo应该不具备车辆GPS定位能力，所谓的红包区域跟车辆并不匹配，这是个很明显的漏洞”，郑小可告诉记者：“你选中红包区域之后，根本不用选这个区域内或者区域附近的车。手动随便输入6位、7位数字，基本都可以开始骑行。
”记者测试，输入“1234567”、“2345678”等均提示故障车，不过，记者以“2345679”、“2623489”等随机输入的车牌号解锁。解锁后，手机静置超过10分钟后结束行程，不过，领取的红包未超过2元。同一个账号间隔一个小时之内在北京、武汉两地测试，均可领取红包。
“一般散客都是拿自己的手机号去做测试，薅的羊毛有限”，郑小可告诉记者：“专业点的‘羊毛党’，都是用模拟器，在电脑上一次注册、登录几十个账号、上百个账号，用‘任我行’调整定位设计好行车路线，然后10分钟后结束。
"22 号那天，我在家里就刷了 1000 多元。" " 羊毛党 " 刘浩（化名）说，利用虚拟定位的软件在红包区域定位，然后使用多个账号刷红包，" 红包额度大的时候，一天时间轻松破千元。"
刘浩给了记者一份红包攻略，操作流程是下载某虚拟定位 APP 后，搜索一个地址区域，并定位到红包区域内，然后登录 ofo 共享单车 APP，点选 " 立即用车 "，即可进行 " 薅羊毛 "。" 随便输入一个车牌号解锁，开始‘骑行’十分钟之后，可以结束行程领取红包。"
" 专业人士一般都会利用模拟器，同时登录几个或者十几个账号刷红包。一个账号一天可以刷五个红包，十个账号就是五十个。" 不过，刘浩（化名）同样表示，自 23 号晚上开始，平台补贴的红包大小开始减少，" 现在一天最多只能刷一百多块。"
倒卖单车密码的牟利平台
除了利用红包漏洞，还有一些人通过倒卖单车密码，违规绑定学生证的方式来薅OFO的羊毛。
国内有多个QQ群均称可以低价解锁共享单车，3毛钱就可以解锁，5块钱就能认证学生账户。记者给一名叫“好孩子”的网友发去3毛钱红包和小黄车车牌号，不到一分钟就收到了密码，很轻松就解锁了小黄车。
“好孩子”称这个没有技术含量，就是把车牌号输入小黄车的APP，通过正常渠道获取密码。“好孩子”是学生身份注册的小黄车，骑车只需半价，还免缴押金。小黄车的收费标准是每小时1元，学生半价也需要0.5元，那么收3毛钱岂不是每辆还亏了2毛钱?
对此“好孩子表示”：拿到小黄车密码后，可以在APP中点击报修，平台就会误以为这辆车已损坏，不再收取费用。不过一天最多可以报修15次，相当于有15次免费机会。
“好孩子”还有其他业务，只要5块钱，就能让上班族变成学生。无论你是谁，只需5块钱也照样能骑学生价的小黄车。
在这些QQ群中学生信息已经是公开贩卖了，即使不是学生，也能够用他人的身份信息认证为学生用户。只需要6.88元，就能认证为低质量的学生用户，可能1年失效，也可能4年失效。要想永久不失效，则需缴纳9.9元购买高质量的学生信息。
这些QQ群的管理员来自一个小团队，专门经营和小黄车相关的生意。目前这个团队越做越大，正在招聘代理。
对此，OFO平台回应记者称，他们正在采取一系列措施，以解决这些问题。
记住密码无限次使用、开锁后立刻报修、根据机械锁松动的痕迹摸索出密码，这些免费骑车的诀窍已经成为公开的秘密。使用ofo小黄车的费用是每半小时1元，虽然收费不高，但仍有人利用小黄车机械锁的bug来免费骑车。
共享单车方便了我们的出行，很多人想的不是怎样维护这个行业，而是怎样利用平台漏洞薅它们羊毛，多少有点农夫与蛇的意味。古人不为五斗米折腰，现在很多人却因一块钱放弃了诚信。