京东金融 APP 被曝光会获取用户的相册图片并上传

[HanJoker]

微博视频链接： https://weibo.com/tv/v/HgQkjgwbe?fid=1034:4340143864405128 今日头条预定...京东最近不太平啊

[tumbzzc]

我去，b 脸都不要了

[lhx2008]

看不出来上传，除非有抓包实锤，别动不动就搞个大新闻。不过一个金融 APP 确实不干净。

[HanJoker]

@lhx2008 哈哈 有道理 等我去测试一波

[tumbzzc]

实测截图会进入京东金融的数据里面！不管上不上传，但是拿我的截图干嘛？？

[zjsxwc]

看了视频，拦截了截屏事件，倒不是上传用户自己相册图片，我手机能重现，安卓代码写的问题，不能单独监听京东自己 app 的截图

[gabon]

还好我不用 jd 金融，这些大厂搞得小手段真恶心，工信部狠狠的罚它一笔就老实了

[zst]

我去，他不挂在后台还能获取到吗

[HanJoker]

@lhx2008 我看了下 截完图以后确实有一个请求发到京东那边 然后返回来的信息是这样的
{
"resultCode": 0,
"resultMsg": "操作成功",
"resultData": {
"title": "选择反馈的类型",
"list": [{
"image": "https://img12.360buyimg.com/jrpmobile/jfs/t1/3594/31/3680/752/5b9a06d4Ed6c80ce4/bdb18516b9d5a1de.png?width=108&height=108",
"title": "在线客服",
"subTitle": "小京灵客服 3 分钟帮你解决问题",
"fromVersionI": 20800,
"toVersionI": 90000,
"fromVersionA": 50006,
"toVersionA": 90000,
"forward": {
"jumpType": "2",
"jumpUrl": "https://m-jtalk.jd.com/hindex.htm?entrance=20193&source=h5&companyId=1"
},
"exposureData": {
"pJson": " ",
"bid": "jietu1002"
}
}, {
"image": "https://img12.360buyimg.com/jrpmobile/jfs/t19420/153/2491491169/795/8132c4cd/5af540b5Neef1d764.png?width=108&height=108",
"title": "意见反馈",
"subTitle": "向我们反馈遇到的功能异常或建议",
"fromVersionI": 20800,
"toVersionI": 90000,
"fromVersionA": 20800,
"toVersionA": 90000,
"forward": {
"jumpType": "6",
"jumpUrl": "5"
},
"exposureData": {
"pJson": " ",
"bid": "jietu1003"
}
}, {
"image": "https://img12.360buyimg.com/jrpmobile/jfs/t22324/163/12944531/1212/a5141faf/5af53ff0Nfaa881e0.png?width=108&height=108",
"title": "分享微信",
"subTitle": "发送图片给微信朋友",
"fromVersionI": 20800,
"toVersionI": 90000,
"fromVersionA": 20800,
"toVersionA": 90000,
"exposureData": {
"pJson": " ",
"bid": "jietu1004"
}
}]
}
}
至于有没有真的上传还不清楚 不知道他用什么方式上传的 Charles 只能抓 https 我再去研究研究...

[HanJoker]

@zst 不能吧 我这杀了京东金融后台以后再截图就看不到他的请求了

[passerbytiny]

京东金融前不久开始垃圾推送了，我已经干掉了它的小红点和声音提醒。
领券签到改成分享、京东金融垃圾推送、走 PDD 的老路……感觉刘强东有点控制不住了，签于目前没有替代品，我已经开始多往沃尔玛跑了。

[learnshare]

很多国产 App 监听截图事件，并弹出“反馈”功能

[littleylv]

@learnshare #11 监听截图，提供反馈，我能理解。但不是应该让用户来决定发不发送吗？不是应该弹出来让用户选择吗？偷偷的直接发送就是辣鸡，流氓

[zbinlin]

@HanJoker 从请求返回的信息来看，我觉得这是一个程序员的锅，估计是把它写得太“智能”了。

[learnshare]

@littleylv 监听截图这个已经很过分了，又不是做 DRM

[orangeade]

appops 禁存储权限，它拿个屁

[HanJoker]

@zbinlin 按照我的思维那个弹出反馈的东西 图标 文案一类的应该写在客户端代码里 不是从服务端拿...

[jydeng]

我猜测是“反馈”功能

[zbinlin]

@HanJoker 我不清楚你这条请求的 request url 是什么，是否有 body，不过从 response 看，应该是更新反馈页面的，这从服务端更新亦无不可。
我猜的一种情况：首先 APP 监听截图事件，当用户在截图时，APP “智能”地认为用户是有问题需要反馈的，所以它提前地做“准备”，然后发起请求了。

[HanJoker]

@zbinlin 有 body 很长一大坨 里面还带了我的设备信息之类的 这里不能丢截图...

[martint028]

相册图片应该没次获取都申请一下权限就好