想了解更多關於《 》的報道,那就掃碼下載和訊財經APP閱讀吧。
放棄閱讀
註冊

「我做了一款電商 App 想偷窺用戶聊天記錄來營銷 怎麽實現?

2018-01-12 15:01:26 PingWest中文網  逍遙小妖

  最近,中國網絡用戶的隱私權突然覺醒了,各大公司都有點不適應。

  今日頭條被指責偷聽、支付寶被 diss 賬單默認勾選協議、微信被人說天天看我們聊天記錄、百度 App 能偷聽你電話、淘寶就更牛了,據說但凡你想買點啥除非己莫為,要麽它全知道。

  以上所有公司官方都在第一時間進行了辟謠和否認,其中一大部分的立論是:做不到、沒能力、幹不了。

  真的幹不了麽?

  BiaNews 在《深度調查:知名APP利用微信和麥克風推薦商品?答案是……》中進行了用戶訪談,抓了一些典型的控訴案例來進行分析,並在編輯部對一部分傳說中的偷窺進行了復現。

  其中還確實有些匪夷所思的場景是可以復現的,比如:

  iPhone 沒越獄系統、使用系統輸入法、在微信裏提到商品,在隔壁家看到推薦——

你晚上想要和朋友吃火鍋的意圖也能被淘寶看透:

  你晚上想要和朋友吃火鍋的意圖也能被淘寶看透:

在這篇文章的末尾給出的結論中,BiaNews 認為在
 
  在這篇文章的末尾給出的結論中,BiaNews 認為在大多數案例中還是輸入法泄露的天機,還有一些是綜合用戶的位置、支付情況等做出的判斷。

  但是對於上面這種沒越獄、第一方輸入法、微信和淘寶之間的關聯,他們也不太能理解原理是什麽。

  比起譴責,好奇心旺盛的我其實更想知道這究竟是怎麽做到的,難道中國互聯網最大的兩個死對頭之間還有不可告人的交易?

  在我把標題的問題丟給了幾個程序員之後,他們給了我兩個思路,在這裏整理出來給大家看看。

  路徑一:剪貼板

  在所有當前的分析文章中,都忽略了這一點。

  iOS 系統允許 App 直接訪問剪貼板而無需申請額外的任何權限。

  關於這一點,大家應該都很熟悉,因為競爭原因,我們早就已經不能在微信裏打開淘寶鏈接了。當我們想把商品分享給微信好友的時候,分享的是什麽呢?

  是一串奇怪的文字,這被稱為「淘口令」。

用戶復制淘口令,進入淘寶客戶端,無需粘貼操作,就會自動彈出相應的商品。為了實現這一功能,淘寶每次打開的時候都應該會檢查一下用戶的剪貼板。

  用戶復制淘口令,進入淘寶客戶端,無需粘貼操作,就會自動彈出相應的商品。為了實現這一功能,淘寶每次打開的時候都應該會檢查一下用戶的剪貼板。

  如果你的剪貼板裏有不是淘口令,但是是商品的東西,淘寶也就順勢給出了推薦。這個路徑 iOS 和 Android 通用,因為在開發規範中,剪貼板本就不是信息安全區域。

  在 Android 上很多 App 都利用這個特性來實現一些功能,比如詞典 App 會在你復制一個單詞之後自動彈出提示,一些瀏覽器會在你剪切板有復制 URL 地址的時候自動問你是否打開網頁。

  如果你在和朋友聊買東西,然後用了復制,一進淘寶就發現了對應的推薦,這就會給人一種非常可怕的感覺。

  但其實,因為 App 永遠只能讀取你此時此刻的剪切板,所以能夠獲取的信息十分有限,隱私沒那麽容易泄露。

  在手機上主動復制一段話,其實還是很少的。但是在去年蘋果更新了 macOS Sierra 之後,推出了一項叫做「通用剪切板」的功能。這項功能是將用戶的 Mac 和 iPhone 剪切板通過 iCloud 相連。

  如果你既是 Mac 用戶又是 iPhone 用戶,那麽你在 Mac 上復制的信息也可能被淘寶讀到。

  而同樣的道理在 Windows 平臺上也可以實現,Windows 下的每個進程都可以無需額外授權的訪問當前剪切板,進程不等於窗口。相當於即便是你沒有切換到某個程序,只要這個程序在後臺是運行的,也可以一直查看你的剪貼板。

  這就是在安全要求更高的場景中,密碼框不止不準你復制走,甚至連粘貼都不允許的原因——因為你的使用習慣如果是從別的地方把密碼復制進密碼框,那你的密碼已經全宇宙廣播了。

「我做了一款電商 App,想偷窺用戶聊天記錄來營銷,怎麽實現?」

  路徑二:iCloud 備份

  這個路徑就比較邪性了,來自一位精通黑產的程序員貢獻。

  看到標題這個問題,他第一反應是淘寶這麽大公司是不會這麽做的。但這確實是一條可用的通路。

  他甩給我一條新聞,這條新聞 PingWest 品玩也報過:

這個史詩級漏洞就是,長期以來 macOS 的 root 權限幾乎對所有程序都是開放的。

  這個史詩級漏洞就是,長期以來 macOS 的 root 權限幾乎對所有程序都是開放的。

  有了 root 權限,應用程序可以為所欲為而不會有任何系統彈窗提示用戶需要輸入密碼。

  一條看起來可行的途徑是:通過在 Mac 中植入一個程序,獲得系統鑰匙串,在鑰匙串中獲得 iCloud 密碼,從 iCloud 密碼中下載用戶的微信備份,解包備份文件獲取聊天記錄。

  如果在 Mac 上安裝了微信,可能連 iCloud 密碼都不用偷,直接在 Mac 用 Root 權限本地讀取微信聊天記錄。

  而微信因為比較相信蘋果的安全性,所以在備份上的加密並不強。隨便搜一搜就能搜到如何解包微信聊天記錄的帖子:

這種通過第三方工具解包恢復備份的方法,甚至在民間十分流行:

  這種通過第三方工具解包恢復備份的方法,甚至在民間十分流行:

這個啥恢復大師當然是第三方工具,而且也能讀出微信備份文件裏的聊天記錄。

  這個啥恢復大師當然是第三方工具,而且也能讀出微信備份文件裏的聊天記錄。

  原本,這樣做雖然不符合安全規範,但是安全隱患也並不是很高。誰知道 iCloud 的密碼會那麽容易被偷呢……直到 macOS 的史詩級漏洞被爆出來。

  這條路徑的成立風險比較高,但價值也比上一條更大。它看到的信息可不是用戶的剪貼板那麽簡單,而是用戶的完整全量聊天記錄。甚至是一些 App 的應用內行為記錄。

  當然,前提是你的 iCloud 賬號沒有開啟兩步驗證。

  如果說上一種是在違法的邊緣試探,那這一種就完全是已經違法了。

  阿裏作為一家大公司,這麽做的可能性幾乎是零。我相信中國的其它大公司,也不可能為了這麽一點蠅頭小利做風險這麽大的事情。因為這要是真的,可不只是被罰到倒閉那麽簡單。

  但這並不意味著一些從事黑產的個人和公司不會這麽做,也不意味著他們做完之後的數據不會洗白賣給正規公司。

  一些黑產得到用戶數據後,會轉售給正規的數據公司,數據公司拿到原始數據之後會象征性的脫敏,然後再賣給正規的互聯網公司用於用戶畫像的建立,所以……

  破罐破摔吧。

「我做了一款電商 App,想偷窺用戶聊天記錄來營銷,怎麽實現?」

  怎麽講,這位黑產程序員後續給我引用了一篇國內某個互聯網大公司的官方安全博客的文章。裏面提到:

  iOS的的漏洞數量在今年急劇上升,達到了 192 個漏洞,遠遠超過了 2016 年所發現的 161 個漏洞。iOS 漏洞預計今年將高達 643,同比增加了 4 倍。相比之下,Android 漏洞預計將從 523 下降至 500。

  而所謂發現,只得是被正義の味方找出來,並且提交了官方進行修復的漏洞。

  像是 macOS 史詩級提權漏洞這種東西,雖然是今年「發現」的,但其實已經存在很多年的了。而你要問「被發現」的漏洞和被黑產利用的漏洞,比例大概是這樣:

所幸,現在的黑客們都學會了悶聲發大財。即便是拿到了你的 iCloud 帳戶,也很少會直接丟錢。

  所幸,現在的黑客們都學會了悶聲發大財。即便是拿到了你的 iCloud 帳戶,也很少會直接丟錢。

  主要是黑客們摒棄了前些年急著去蘋果商城充值套現的方法,而是選擇一點一點的把你的數據賣掉賺長線的錢……畢竟,這樣就鮮少會有人報警,也鮮少會有人追責到底了。

  在黑客圈子裏,這個叫 APT(Advanced Persistent Threat,長期高級威脅)攻擊——比如做一種毫無癥狀的病毒到處感染,只為通過某個銀行高管的個人設備入侵到銀行內網。或者是《三體》裏那個只對面壁人致命的流感病毒,也是這個原理。

  畢竟,不產生直接損失我們普通人就當是沒發生過。

  那我還能說什麽呢,我們一起聽首歌吧:

「我做了一款電商 App,想偷窺用戶聊天記錄來營銷,怎麽實現?」
(責任編輯:趙然 HZ002)
看全文
和訊網今天刊登了《「我做了一款電商 App 想偷窺用戶聊天記錄來營銷 怎麽實現...》一文,關於此事的更多報道,請在和訊財經客戶端上閱讀。
寫評論已有條評論跟帖用戶自律公約
提 交還可輸入500

最新評論

查看剩下100條評論

熱門新聞排行榜

和訊熱銷金融證券產品

【免責聲明】本文僅代表作者本人觀點,與和訊網無關。和訊網站對文中陳述、觀點判斷保持中立,不對所包含內容的準確性、可靠性或完整性提供任何明示或暗示的保證。請讀者僅作參考,並請自行承擔全部責任。