在应用结算中购买的不是Google Play / Weird Receipts

时间:2017-07-16 18:38:10

标签: android google-play in-app-billing

我们注意到,我们服务器上的许多应用内结算付款记录未在Google Play订单管理中反映出来。在查看收据后,我们注意到订单管理与不存在订单管理的差异。对于那些不在订单管理上的人:

  • (始终)订单ID显然使用旧格式:3925053605191231569.4699441885150531
  • (总是)purchaseToken很短:neliazyrqesvgwagglfwccfa
  • (通常)标题几乎是IAB项目ID,没有下划线:“standardannual subscription”
  • (通常)描述几乎是IAB项目ID,没有下划线:“standardannual_subscription”
  • (通常)价格错误且没有面额(例如“0.11”或“0.26”,而不是“$ 59.99”)

以下是过帐和失败的订单收据。

阅读后,我的印象是它可能是欺诈性指控,但对可能性没有直觉。如果不是欺诈性收费,我们确实有很大的动力来解决这个问题,因为我们会把钱留在桌面上。 Google Play的帮助小组已经确认它不会是无效的信用卡或网络连接不稳定。任何关于将要发生的事情的想法都会很棒。

收到失败

  

{“id”:“standardannual_subscription”,“alias”:“BodBot Plus -   一年一度的“‘类型’:”支付   订阅 “ ”状态“: ”拥有“, ”称号“:” standardannual   订阅 “ ”说明“:” standardannual   订阅 “ ”priceMicros“:2600, ”价格“: ”0.26“, ”货币“: ”美元“, ”装“:真实的, ”canPurchase“:假的, ”拥有“:真正的 ”下载“:假”下载 “:假的,” additionalData “:空,” 交易 “:{” 类型 “:” Android的Play商店中 “ ”ID“: ”3925053605191231569.4699441885150531“, ”purchaseToken“: ”neliazyrqesvgwagglfwccfa“, ”developerPayload“: ”“,”回执 “:”{\ “订单ID \”:\ “3925053605191231569.4699441885150531 \”,\ “的packageName \”:\ “com.bodbot.trainer \”,\ “的productId \”:\ “standardannual_subscription \”,\ “purchaseTime \” :1500112205250,\ “purchaseState \”:0,\ “developerPayload \”:\ “\” \ “purchaseToken \”:\ “neliazyrqesvgwagglfwccfa \”} “ ”签名“:” A4uP + JUzu7UJfD56y9g1Btym7gHRUvnwb7dgxR9lswR9D3a21JkCKU0YWkDKBiFVSyfiwW3CLWTuamwNsXVKU5UXjI + krbvcMDjEUlrmhZP4LApGVpJQG4eSWqib7LkBBBZPXAMBuX5HL7hHk1XSwh / oKxnm0NqQIlD6kd4sVGypDvMdRUofHu5AfkcEYRC0YIg46AoipXurbaCXMbv3lQYXjs + TGl7GxFRIuiseCr9BReAgxV0lQ5XZylB / QIatwWYDdGfkGNMtu0Bc / lUet6f2TW + sflGpVDMHNWdcSQkl + A / DEVK67M8B / EVL / W8 = “},” 有效“:真}

通过收据

  

{“id”:“standardannual_subscription”,“alias”:“BodBot Plus -   年度“,”类型“:”付费订阅“,”州“:”拥有“,”标题“:”BodBot   加 - 年度(BodBot个人   师:\ u00a0Workout \ u00a0&安培; \ u00a0Fitness \ u00a0Coach) “ ”说明“:” BodBot   此外,还通过一套功能强大的功能增强了BodBot的个性化功能   \ ntools “” priceMicros。 “:59990000,” 价格 “:” $ 59.99" , “货币”: “美元”, “装”:真实的, “canPurchase”:假的, “拥有”:真正的 “下载”:假的, “已下载”:假的, “additionalData”:空, “交易”:{ “类型”: “Android的Play商店中”, “ID”: “GPA.3389-7532-0097-99951”, “purchaseToken”:“bhjlmpicpacconeppfjalipi .AO-J1OziYOBRhZsG12KwcvuyRpOc7zhRCDsyW8C-YfRphW3UeVTbHFbt5tKoQC0vaCGE-LMQ-64Qu3zwkX2KRA9yjo1u0Wr93vlGBX2QKZMHR37B8rVsI2IZXWjpeTtR5qo29u79X7li “ ”developerPayload“:空, ”收据“: ”{\“ 订单ID \ ”:\“ GPA.3389-7532-0097-99951 \”,\ “的packageName \”: \ “com.bodbot.trainer \” \ “的productId \”:\ “standardannual_subscription \”,\ “purchaseTime \”:1499974851578,\ “purchaseState \”:0,\ “purchaseToken \”:\“bhjlmpicpacconeppfjalipi.AO- J1OziYOBRhZsG12KwcvuyRpOc7zhRCDsyW8C-YfRphW3UeVTbHFbt5tKoQC0vaCGE-LMQ-64Qu3zwkX2KRA9yjo1u0Wr93vlGBX2QKZMHR37B8rVsI2IZXWjpeTtR5qo29u79X7li \ “\ ”autoRenewing \“:真正}”, “签名”:“PT1vE2lTe8geQ2JYi3YISSYxVNuQAWO3a4uzjMp + UEr3l / p95hVs4j1TAHKvnpyqB / + dQUSddLGjqcVPLTgXDBvET7owy3dqA3G // hrsw2ORewHyD3iPI / 56lr8onTOry 8nPZXL + z2ziBhCmiUNue3RhVteepVdnUMaGz8ws24VYgKP9u4g8fc7hBcrzI3rTcufrn4MCauB + XhVLHa0y / AREPnvYg4MjgrEwVjf8HhPU + 7w8hMKfpt9XC6VVdwYAPH54pYJO + YEsnYNkHIPJNbGuq2eiW / GbCxwuKtuP9bmaB7RQFA / HCWLqQNkt7lkL + ch4my2 + 1QZEsIVDz9s0qQ == “},” 有效“:真}

1 个答案:

答案 0 :(得分:1)

最明显的是通过类似于详细描述here的流程获得的欺诈性交易。

要确认怀疑,请尝试离线验证失败收据的签名(使用this question作为Java或Ruby的指导)并且很可能不会通过它(如您提供的示例签名中那样)解码后很长一段时间,而不是预期的256)因此表明这是一个欺诈行为

总结一下更广泛的欺诈症状:

  • 订单管理控制台无法找到此类订单
  • 格式为[merchant ID].[actual order ID]
  • 的旧式订单ID
  • PurchaseToken似乎有短/随机/意外长度
  • 订单签名验证失败

如果您发现了其他内容,请发布您的发现