推广铺天盖地的内网穿透软件到底安不安全

今年2月正苦于ipv4公网被封禁的我，刷到了站内某内网穿透铺天盖地的推广贴，于是上了车。这几天闲着无聊分析了一下，实在是千疮百孔，全站用户数据直接暴露在外，充值接口也是等于没有，想给谁充给谁充。

备注：发现的漏洞第一时间给厂商反馈修复。

大门一号：数据对所有人敞开

它查会员信息的接口，身份凭证那一栏填个 x 也能用。

不填也行，填乱码也行。然后把用户编号改成别人的，返回的就是别人的会员等级、到期时间、购买记录、积分。

我试了几个：

有个账号还有 1,975 天会员（5.4 年）

有个账号的积分有 103 万

它的排行榜接口还不需要任何凭证，直接返回一批用户的编号、昵称、微信头像——等于一份现成的全站用户名单。

全站用户编号是连续整数，从 1 排到 78 万。

这意味着： 你的会员什么时候到期、买了多少钱的卡、攒了多少积分，理论上都是可被读取的。

大门二号：任何人可以给任何人免费充值

这个更直接。

产品卖会员走微信支付。正常流程：你付钱 → 微信通知服务器 → 服务器加时长。微信的通知带防伪签名，服务器应该核对。

它没核对。

我下单买了 99 元年卡（没付钱），自己编了一条"支付成功"的消息发过去，签名填 FAKE，它回了"成功"，会员时间直接加了365。

更离谱的是组合： 它的下单接口，用户编号是客户端自己填的。我试了不存在的编号 99999999、以及 1，都能下单成功。

所以完整路径是：

随便填一个人的编号 → 下单 → 伪造"支付成功" → 那个人的会员 +372 天

不需要注册、不需要登录、不需要花钱。

年卡 99、2 年卡 188、专业版年卡 499——全部可以这样"买"到。

顺手做的 500 人画像：什么时候买最划算

既然"随便查"，我扫了 7435 个用户编号，筛出 500 个付过费的，做了个画像。

1. 付费率约 6.7%

100 个注册用户里约 6-7 个人付钱。工具类产品里算正常。

2. 在保 225 人 vs 已过期 275 人

付过费的 500 人里，现在还有 225 个在有效期。

3. 关键的：购买时间高度集中

2 月一个月，贡献了 60% 的付费。而这 304 个人里，275 个已经过期——流失率 90%。

这说明：这家公司在 2026 年 2 月做过一次大规模投放（很可能是低价引流或赠卡），拉来一批人，三个月后基本全走。

总而言之，言而总之，内网穿透还是慎用吧，数据安全和隐私更重要#内网穿透漏洞 #网络安全警钟 #隐私泄露危机