Cloudflare 计费逻辑缺陷：请求重放如何绕过订阅支付

第一步：定位关键请求#

打开浏览器 DevTools（F12），切换到 Network 标签页。

在待支付页面点击底部的 支付按钮，留意 Network 面板中新产生的请求。定位名为 Append 的 POST 请求——这就是 Cloudflare 订阅结算的核心接口。

这个请求一旦发出，后端会同时触发两条路径：权限授予 和 支付校验。问题就出在这两条路径不是原子执行的。

第二步：提取攻击所需参数#

选中 Append 请求，从 DevTools 中提取以下四个关键要素：

这四个参数构成了一个完整的”合法升级请求”。重放它们，就是在用合法的身份反复触发升级逻辑。

第三步：理解核心漏洞原理#

一个健康的订阅结算流程应该是：

1
POST /append → 校验支付 → 支付成功 → 写入 Pro 权限

但 Cloudflare 的实际实现路径是：

1
POST /append → 写入 Pro 权限 ─┐
2
                              ├─ 两步异步，非原子
3
              异步校验支付 ────┘
4
                    ↓
5
              支付失败（无有效卡）
6
                    ↓
7
              补偿任务回滚权限（有延迟，可能漏执行）

两条路径之间存在一个时间窗口。在这个窗口内，权限已经写入 Metadata，但账单尚未确认失败。如果利用并发请求冲击这个窗口，就能让权限”生根”而账单”流产”——数据库的 MVCC 机制在大量并发写入时，某些写操作可能绕过回滚逻辑。

逐行深度拆解#

① 请求头中的安全参数复用

1
'x-atok': 'PASTE_YOUR_X_ATOK_HERE',
2
'cookie': 'PASTE_YOUR_COOKIE_HERE',
3
'x-cross-site-security': 'dash'

X-atok 是 Cloudflare 仪表盘的反 CSRF 令牌，在页面加载时注入，每次登录会话生成一次。正常情况下它防止跨站请求伪造，但在这里我们在同源的 Console 中重放，完全合法。x-cross-site-security: dash 是 Cloudflare 内部微服务间通信的标识头，说明请求走的是 Dashboard 的内部网关路径。

② Payload 的结构

从 View Source 复制出来的 JSON 包含关键字段：

1
{
2
  "zone_id": "xxx",
3
  "plan_id": "pro" | "business",
4
  "billing_cycle": "monthly" | "annual",
5
  "payment_method_id": "xxx",
6
  ...
7
}

payment_method_id 指向一个无效或余额为零的支付方式——前端通过了，但后端支付网关会拒绝。

③ for (let i = 0; i < 10; i++) —— 为什么是 10 次？

10 次 × 100ms 间隔 = 约 1 秒的持续攻击。后端支付校验的典型延迟在 200-800ms（支付网关回调超时）。10 次请求覆盖了这一秒内的多个时间切片，确保至少有 1-2 次落在”权限已写、账单未回”的临界窗口内。

④ fetch().then() 而非 await fetch() —— “请求波”技巧

1
fetch(url, { ... })
2
  .then(res => console.log(...))
3
  .catch(err => console.error(...));

这里没有 await。主循环每 100ms 发出一个 fetch 就立即进入下一轮——不等待响应。效果是：

• 请求像机枪一样连续发射，互不阻塞
• 在同一瞬间可能有 2-3 个请求同时在网络层飞行
• 服务端同时面对多个并发请求，后端线程池被瞬间占满，状态机的原子性更容易被打破

如果改成 await fetch()，请求严格串行——第一个收到 403/回滚之后再发第二个，窗口期已过。

⑤ await delay(100) —— 间隔时间的工程计算

• 太短（< 50ms）：浏览器同域并发限制通常是 6 个，超过的请求会在浏览器层排队，实际上达不到并发效果；同时服务端可能触发 rate limiting
• 太长（> 500ms）：支付回调已完成，权限已被回滚，后续请求全是”送人头”
• 100ms：恰好落在浏览器并发安全区（10 次 × 100ms 不会瞬间占满 6 槽位），同时窗口覆盖回滚延迟

⑥ 控制台日志的视觉心理学

1
console.log("%c 开始执行...", "color: #007aff; font-weight: bold;");
2
console.log("%c 脚本执行完毕...", "color: #34c759; font-weight: bold;");

开头用蓝色 #007aff（iOS 系统蓝，冷色调、技术感），降低操作紧张情绪。结尾用绿色 #34c759（iOS 成功绿），暗示操作完成且成功。这不是随意选的——操作者心理暗示是漏洞利用的一部分。

攻击时序图#

1
时间轴 ──────────────────────────────────────────────────►
2

3
请求1:  POST /append ──► 权限写入 ✓ ──► 支付校验启动...
4
请求2:  POST /append ──► 权限写入 ✓ ──► 支付校验启动...
5
请求3:  POST /append ──► 权限写入 ✓ ──► 支付校验启动...
6
                              │
7
                         [支付回调到达 ── 全部失败，触发回滚]
8
                              │
9
请求4:  POST /append ──► 权限写入 ✓（部分数据库副本未完成回滚）
10
请求5:  POST /append ──► 权限写入 ✓（MVCC 快照隔离，读旧版本）
11
请求6:  POST /append ──► 权限写入 ✓（补偿任务被排队，延迟执行）
12
   ·
13
   ·
14
   ·
15

16
结果：权限表状态 = Pro/Business  ✓
17
      账单表状态 = 未支付 / Free   ✓
18
      控制面板显示 = Free         ✓
19
      实际功能 = Pro/Business    ✓  ← 量子叠加态

1. 计费被当成”业务功能”而非”安全边界”#

登录、鉴权链路通常有严格的原子性设计和审计要求。但计费链路——直接涉及资金和权限——常见异步拼接和弱一致性。组织的安全边界画错了地方。

2. “先开后付”的产品本能#

产品团队追求”丝滑体验”：用户点一下，权限立刻生效，支付在后台慢慢跑。这在 99.9% 的场景下是好的设计，但留下了 0.1% 的异常窗口——安全研究者追逐的正是这 0.1%。

3. 分布式系统的一致性税#

当 Entitlement Service 和 Billing Service 是独立微服务时，跨服务事务天然需要 Saga 或 2PC。如果补偿机制设计不完善，就会出现”权限已售出、资金未到账”的状态缝隙。

1) 强制先支付后授权#

1
// ❌ 漏洞路径
2
POST /append → grant_entitlement() → async charge() → compensate if fail
3

4
// ✅ 修复路径
5
POST /append → charge() → on charge_confirmed → grant_entitlement()

权限发放只响应 charge_confirmed 事件。未确认的请求停留在 pending 状态，前端可轮询。

2) 引入幂等键#

1
POST /append
2
Header: Idempotency-Key: <uuid>
3

4
// 服务端：
5
if (idempotency_store.exists(key)):
6
    return cached_response  // 不重复处理

Stripe 的标准实践。同一键只允许一次状态推进，并发 100 次只处理 1 次。

3) 单事务或 Saga 强补偿#

• 权限与账单落库在同一数据库事务内完成
• 跨服务使用 Saga 模式，每步有对应的 compensate 操作
• 补偿必须是可重试、可审计、有告警的——不能依赖”定时扫表”

4) 运行时二次校验#

在 WAF 规则配置、图片优化等关键能力入口，实时查询账单状态，不仅依赖”历史已授权”标记。每次 API 调用都是检查点：

1
handleWafRule() {
2
    if (!billing_service.isProActive(user)) {
3
        return 403;
4
    }
5
    // ... 正常处理
6
}

5) 风控检测#

• 同一账户 1 秒内超过 3 次 Append 触发人工审核
• 支付失败后 30 秒内锁定升级接口
• 对短时密集相同请求进行限速和熔断