系统的漏洞/「牛角评论」有些系统漏洞，钻进去就是犯罪_小白网安记录贴

系统的漏洞/「牛角评论」有些系统漏洞，钻进去就是犯罪_小白网安记录贴

近日，“大学生利用肯德基漏洞诈骗20余万元”的话题冲上热搜，引发关注。2018年，在校大学生徐某利用肯德基App客户端和微信客户端之间数据不同步的漏洞，骗取兑换券或取餐码，将套餐出售给他人牟利，并且将犯罪方法教给丁某等4位同学。截止同年10月案发，徐某的行为造成百盛公司损失5.8万余元，丁某等四人造成百盛公司损失0.89万元至4.7万元不等。上海徐汇法院开庭审理此案，徐某等五人因犯诈骗罪、传授犯罪方法罪被判有期徒刑两年六个月至一年三个月不等，并处罚人民币四千元至一千元不等。有网友评论：“利用合理合法的漏洞，没有通过任何脚本、外挂，甚至不法手段获取。看不懂怎么就是诈骗了？”

不知道大家是否还记得2007年的一个网络热点新闻许霆案？不记得我替大家回忆一下，毕竟有些久远了。2006年的时候，广州青年许霆与朋友郭安山利用ATM机故障漏洞取款，许霆取出了17.5万元，郭安山取出了1.8万元。事发后，郭安山主动自首被判处有期徒刑一年，而许霆潜逃一年落网。2007年12月一审，许霆被广州中院判处无期徒刑。2008年2月22日，案件发回广州中院重审。经广州市中级人民法院重审后，3月21日15时公开宣判。法院认定被告人许霆犯盗窃罪，判处有期徒刑5年，并处罚金2万元；继续追缴许霆未退还的犯罪所得人民币元。而这件案子引发巨大的讨论就是在一审和二审之间，讨论的焦点就是法院一审对许霆判处无期徒刑是不是太重了。这个案子最有争议的地方就是许霆并不是盗窃了银行的钱，而是银行的ATM机出了问题，让许霆钻了空子。所以，以盗窃罪给许霆定罪是不是合适，而且无期徒刑是不是太重了。毕竟引发许霆盗窃的是银行机器发生了故障。甚至有网友认为，许霆应该无罪释放。看到肯德基这个新闻我就想到了许霆案，这两个案子其实有很大的相似之处。都是犯罪嫌疑人利用了系统漏洞为自己谋取利益。而网友们也都觉得量刑过重。而且以诈骗罪定罪是不是合适。其实这两个案子反映了一个问题，就是过去我们的法律解决的都是人与人之间的问题，而如今在互联网时代，我们突然面临越来越多的人与机器之间的问题，一时间就很难找到合适的法律来回答这些问题。

法律上的问题很复杂，我这个外行无法说清楚。但是咱们可以从朴素的正义观念出发来看待这个问题。咱们打个比方，比如说有一户人家养牛，然后因为篱笆没有扎牢，牛跑了出去。这时候邻居在外面看到了这头牛，就牵回了自己家。大家觉得他这个行为犯法了吗？这里有一个前提，就是这个牵走牛的人知道牛的主人是谁，但是他仍然把牛据为己有。我觉得这种行为貌似就不能叫做合理占有了，而是一种盗窃行为。其实许霆的行为就是这种行为。许霆知道这钱不是自己的，而是银行ATM机出现了故障。这跟在地上捡到一个不知道是谁丢的钱包，然后据为己有完全是两回事。所以对于许霆案来说，或许一审的无期徒刑量刑过重了，但是法院认定许霆犯盗窃罪我觉得没有问题。再来看新闻里这个利用肯德基漏洞诈骗20余万元的大学生。他的行为甚至比许霆更加恶劣。许霆犯罪还是因为银行系统出了问题，而肯德基的系统本身并没有问题，它只是在两个应用软件上出现了时间差，而这个大学生利用了这个时间差获利。咱们打个比方，这就好像是高考，甲地上午考数学，乙地下午考数学，卷子都是一样的。一个考生在乙地考试，然后他事先从甲地弄到了卷子，那您说他的行为是不是作弊呢？当然，现实中不可能出现这种情况，咱们也就是打个比方。所以对于这件事情的态度就很明确了，这个薅肯德基羊毛的大学生肯定是犯罪了。虽然说，这个大学生犯罪的前提是系统出了漏洞，但这个大学生的行为绝对是一种主观恶意。这个世界是不完美的，总有这样那样的漏洞，然而我们却可以选择是不是钻这些漏洞，这把我们分成了好人或是其他人。当然有些漏洞很小，钻了也无伤大雅，属于道德问题，但有些漏洞，钻进去就是犯罪。

~

网络安全学习，我们一起交流

~