微博现在这么恶心呀？

[pulelt]

密码改了，双重验证，后台登陆显示设备和地址也是我自己。
但是莫名其妙会显示给很多人点过赞。
如果账号被盗用，那登陆 IP 和设备就不是我自己了。
微博会干这样的事情？

[YuxiangLuo]

微博一直在干这样的事啊，你被买赞了。要吃饭的嘛。

[pulelt]

@YuxiangLuo 如果是账号被盗可以理解，我今天刚把手机和密码都改了，还加了双重验证。然后一会就出现很多点赞。关键是后台登陆设备和 IP 是我自己。严重怀疑微博干的，但是官方没有理由这么干呀，这太恶心了。

[pulelt]

有没有其他人，也有这种情况？

[codingadog]

https://www.v2ex.com/t/396631
之前我根据这个做了以后貌似没有出现过了
猜测可能是 http 中间人劫持

[Ley]

有的。一直这样。就是这么恶心。

[XOXO360]

我还莫名其妙关注人呢，和你一样的情况。

[pulelt]

@codingadog 刚把授权的应用都取消了

[chantan]

莫名其妙关注其他人一直在...

[tadtung]

@pulelt 不一定是微博的问题，很可能是运营商的问题。。。去年时就被曝光过。

[Ley]

@tadtung 运营商没法对加密通信做手脚吧

[gamexg]

瑞智华胜涉窃取 30 亿条个人信息：非法牟利超千万元

http://finance.sina.com.cn/stock/thirdmarket/2018-08-20/doc-ihhxaafz0581317.shtml

[jerryrib]

有过经历

[anyele]

要吃饭的嘛

[botian]

我也被官方强制去关注和赞，恶心死了

[0o0o0]

一直都这样。没用过微博，只把微博当图床，登录一看关注了一堆

[jhdxr]

极大多数情况下是运营商线路被劫持（更多的是运营商和某个第三方合作，然后第三方在其中干了一些事情 ← 这个非常非常常见，只是没接触过的人不知道而已），少数情况下是第三方应用动的手脚（并不一定要拿到对应权限。APP 里边的 webview 可以随意操作，所以只要跳转到微博页面让你做个登录，就能顺手去做一些别的事情）

另外上面说加密通讯的，如果完全是 HTTPS 的，运营商的确没法在用户不知情的情况下动手脚，但是如果是从 HTTP 跳到 HTTPS 就是另外一回事了，这也是为什么有 HSTS 的原因 @Ley


v2ex 上不少人都是做技术的吧。。。居然能这么直接的下结论，是太菜又太自信吗？

[pulelt]

我去，我把所有第三方应用的授权也取消，还有点赞。
现在我自己换台电脑登陆都要短信验证。
这样的还有点赞，除了内部还有什么人能做到？

[eurokingbai2]

其实吧。。我一直觉得微博自己都不知道自己有多少 CSRF bug 在被黑产在利用，还要替黑产背黑锅。

[azh7138m]

@jhdxr 那这么说，我觉得大家都应该安装了 https everywhere。
一般来说问题不会出在用户侧，SSL 卸载之后出问题那不也是新浪来背这个锅嘛

[pulelt]

@eurokingbai2
@azh7138m 不管怎么说，微博的技术太弱了