现在生活在城里的年轻人，身上不带钱包太 畸形了 。这群扫码达人的日常大约是：

路人甲：美女，扫个码呗？成为我家会有礼品送哦！

女主角：好呀好呀！

路人乙：美女，扫这个吃饭 可以打折哦'

女主角：好的 。

路人丙：美女修眉吗？扫个码填写下 材料就免费修眉哦！

女主角：好哇好哇！

路人……X：美……

女主角：不用说了，拿出码来，我扫，有什么优惠呢？

……

但是这些看起来 仿佛很 畸形的扫码背后假如暗藏着杀机……

套路啊！二维码刷单是个坑

雷锋网 信息，近期做生意几十年的王女士接连收到数条 生僻号码的“讨债”来电和短信，一开始还不在意的王女士在看到 类似内容的信息后才意识到有人冒用公司信息骗钱 。

其中有条来自贵州的信息，“大骗子，你们骗一个穷学生的钱就不会感觉良心不安吗，做什么不好偏做这种勾当，你们骗的都是别人的血汗钱，都是别人的生活费，你们骗去后用着心安吗，大骗子....”

这条短信来自贵州某大学大二学生，9月23日她收到一条短信，“您的淘宝网买家 信用良好，现诚聘您利用空暇 工夫来为各大店铺刷 信用 。工作无需押金，工作随时结算……”内容的短信 。

小姑娘心一动，加了短信中留的QQ号 。这个QQ号的头像为一名女性，自称叫王萱，她依照对方发来的购物链接以及需求的件数，通过对方发来的微信二维码， 领取了1414元，之后又刷了一笔 。

此时，姑娘发现自己账户里的钱 不胫而走，王萱称必须刷够3笔 威力得到酬劳，在姑娘 回绝并要求其退钱时把她拉进黑名单 。

之后通过微信 领取的明细，姑娘查到收款方为西安某商贸有限公司，并通过网络 查问到该公司的 联络 模式，电话拨通后，老板也便是王女士称她公司从不 使用二维码，这才 急忙报了警 。

实际上， 惟独在网络查找该商贸有限公司，除了地址、注册资本等信息外，还有王女士的私人 联络 模式 。而通过网页上的二维码生成器，输入公司的名称，就能生成公司的二维码 。

这 几乎太 嚣张了，惟独你想不到，没有骗子做不到 。

扫一扫 欺骗？ 把戏多着呢

俗话说人红是非多，自从二维码火起来后不少人忍不住拿它做起了文章，无论是前段 工夫火遍朋友圈的腾讯公益 运动链接，被替换二维码，还是近期的刷单二维码等 目的，不少 歹意二维码的存在 惟独扫一扫就会“中毒” 。

家喻户晓，二维码是一张能存储信息的 占有特定 格局的图形， 可以在横向和纵向两个方位同时 抒发信息，个人名片、网址、付款和收款信息等都 可以通过二维码图案 展示出来 。

而当前，我国 宽泛 使用的二维码为源于日本的 快捷响应码(QR码)，QR码没有在国内申请专利，采取了免费开放的市场策略，即谁都 可以通过网络下载二维码生成，生成所需的二维码 。

雷锋网编辑在网络查找“二维码生成器”，居然浮现458万余个查找 后果， 打开页面最靠前的一个二维码生成器，发现仅需在页面左侧输入名称，即时就生成该名称的二维码 。

这 几乎是把本秘笈 光明磊落放在外面，谁瞅两眼都能比划个一招半式 。

正是由于二维码的制作生成没有任何门槛，不法分子将病毒、木马程序、扣费软件等编入二维码，消费者一旦扫描，手机就会被植入的病毒木马 感化，身份证、银行卡号、 领取密码等私人信息就会被盗取 。

知乎网友黄玮将扫一扫“中毒”概括为三种 模式：

第一种即钓鱼网址 。在手机上， 打开一个网址 本身在大多数状况下是安全的，但惊险在于停留在这个 打开的网站上，消费者的行为， 比方 积极输入信用卡号、 领取宝帐号密码、验证码 。另外，网址并不等于网站入口 。 比方，有一类特别的网址，叫做伪 协定地址，例如sms://、tel://等等，这些点击之后，在不同的系统上有可能会 打开不同的 利用程序，例如发短信、打电话等等 。

第二种是HTML/JS混合代码，这是由于众多二维码软件提供了所谓的智能内容感知和 鉴别，调用了阅读器解释引擎去承载和 解决这些代码， 本质上便是给“病毒”提供了“温床”，所以会“中毒” 。但就已知的 突击案例来说，纯第三方二维码类 利用软件 即便被阅读器客户端 歹意代码 突击，对消费者造成的影响也很有限 。而对消费者造成较大影响的有两种状况：

⑴ 歹意代码直接 突击阅读器解释引擎，造成内存 毁坏类 突击， 获得原生 利用程序级别的任意代码执行甚至是 晋升权限 。这种问题 产生的概率要远远小于PC端阅读器 蒙受同类型 突击的概率 。重要缘由是：大多数 突击程序是需求 定然“行数”的代码构成的，而二维码的承载数据 威力又是受 制约于图片编码的容量极限的 。 方便 了解便是：复杂 突击需求更多行数的代码，较少行数的代码不得不实现较 方便的“ 突击”，二维码由于 本身设计的“缺点”， 无奈提供 歹意代码存储所必要的足够空间，故 突击 设想空间和影响 动机有限 。

⑵update: CVE -CVE-2013-4710 是当前被利用最 宽泛、 动机最好(基于这个 漏洞利用的 歹意代码 可以执行任意Java 步骤)的针对安卓手机平台的网页“挂马” 漏洞，那么有什么危害呢？ 方便来说，假如扫码软件有root权限，那么 歹意代码也 可以 获得root权限 。假如扫码软件 可以 拜访你的通信录， 歹意代码也 可以 。总之，借助这个 漏洞扫码软件扫一下就被安装上 歹意软件、扣费程序并不是痴人说梦了 。

第三种是自定义的二维码 利用 。 固然二维码 本身承载的其实就只不过一般文本数据(数字、字符等)，但有些软件给这些数据定义了一些自己的解析 规定， 目标是实现扫码后自动XXX或自动YYY 。坏就坏在这个自动化的过程，给了数据一秒变病毒的机会 。如何 了解？参考Web安全里的SQL注入、XSS等，便是最典型的数据一秒变病毒的参考案例 。

上面3类“病毒”，第一种为需求消费者交互 威力得逞的病毒，后两种无需消费者交互即可实现“ 感化” 。固然，当前前者的 突击 模式较为常见，后两者 突击易得手但造成的影响多是有限 。

看完了这些，还敢 随便扫一扫吗？

雷锋网编辑也在这里贴心地为大家 预备了防被骗技能，

技能一：莫要贪廉价轻易扫一扫 。

技能二：银行卡只留两毛钱 。

以上， 结束 。