知乎“分享”功能可能正危及你的隐私

[orzfly]

原文： https://zhuanlan.zhihu.com/p/36235128

概述：在知乎最新 Android 版本 5.15.1(658) 下，若你使用「分享到 QQ 」功能分享任意知乎站内链接到任意 QQ 接收者，你可能正在泄漏自己的知乎帐号到 QQ 平台。分享链接中，utm_member 字段经过 base64 解码后的 hex 字符串是用户的唯一识别码。通过这个识别码，可以直接打开用户资料页，从而知晓这个分享链接是哪位用户发送的。

如果你不太明白这有什么问题，或是不明白这是什么意思，请看原文的说明与分析。

[orangeade]

啧啧，之前加 utm source utm media 就知道迟早要这么干

[run2]

想起过年时的银联云闪付 app 更是直接一堆人暴露手机号 不是更恐怖

[airyland]

貌似 [即刻] 也是，分享到 QQ 时观察过 URL 格式，貌似连 base64 都不做了，下面的 userid 在 web 版验证过确认是用户 id。

https://m.okjike.com/officialMessages/{{messageid}}?username={{userid}}&utm_source=qq

点击后会跳转到无参数地址，但是已经直接泄露了。

[billlee]

我一般都是选择分享到 chrome, 然后复制链接到目标应用里面再分享的

[caijunyi]

知乎变味了！！！
越来越商业化了！

[flowfire]

卸载好几个月了

[logOo]

日常要完

[maxlino]

似乎网易云也是

[ctsed]

@airyland #3 #3 页面上显示的是 xxx 给你分享了 xxx，xxx 关注了 xxx

[580a388da131]

强迫症每次分享链接都要清理到最干净
淘宝商品链接要清理掉除 id 以外的所有参数
一直以为我没救了 原来还能拯救我的隐私。。。

[gobomb]

网易云音乐和 qq 音乐也是

[des]

@580a388da131 算我一个，强迫症

[honeycomb]

这种就是链接之后的小尾巴，如果有人在 V2 发带小尾巴的链接而不作说明请及时指出

[justfun]

跨平台追踪

[iwtbauh]

所以，我们就可以随意伪造这个字段把锅扣别人头上喽，别人也可以随意伪造这个字段把锅扣我头上喽

[artoostark]

那我伪造成周源的。

[daocao]

@artoostark 系统发现这是周圆分享的链接。立即提高了网页打开速度[手动 dog ～]

[banricho]

网易云 QQ 虾米一律如此

[michaelzs]

https://h.xiami.com/song.html?id=1773920807&f=&from=timeline&disabled=&_uxid=68B45F982D96A09F9DC6BAD02685C354 求解释虾米怎么看到分享账户是谁

[HannibaI]

感谢 V2EX，找到了女神的网易云账号