首页   注册   登录
V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
华为云
V2EX  ›  程序员

请不要使用聚合数据的 SDK

  aveline · 2014-10-30 16:17:37 +08:00 · 25740 次点击
这是一个创建于 1450 天前的主题,其中的信息可能已经有所发展或是发生改变。
嗯 ... 虽然增加了它的曝光率还是说一下比较好 :-(

聚合数据(juhe.cn)的 SDK 启动时会要求读取通讯录的权限,然后加密发回到他们的服务器上。

通讯录数据内容并未做任何的脱敏处理,更加过分的是,特么的一个字段都没拉下啊 ...

姓名、昵称、地址、E-mail、手机号、组织等均被上传了
第 1 条附言  ·  2014-10-30 17:52:51 +08:00
拿没在用的 iPhone 5 擦除,然后添加了虚假的通讯录条目。

重新跑了测试了下 SDK,发送的数据及解密后的原文见 Gist:

第 2 条附言  ·  2014-10-31 09:41:16 +08:00
iOS 与 Android 分别于昨天晚上和今天早上已经更新,不再上传通讯录。

同时,老版本的 SDK 下载也都删掉了,不过我本地有备份啊。

以及做贼心虚的时候太紧张了吧,Changelog 里把 Android SDK 都打成 iOS SDK 了 :-D


93 回复  |  直到 2016-08-11 00:15:17 +08:00
    1
fdb713   2014-10-30 16:23:23 +08:00
点个蜡烛
    2
sanddudu   2014-10-30 16:26:40 +08:00 via iPhone
有抓包的截图吗
    3
eriale   2014-10-30 16:28:07 +08:00   ♥ 2
    4
66450146   2014-10-30 16:30:36 +08:00
他们居然还加密了,简直良心(喂
    5
aveline   2014-10-30 16:31:45 +08:00
抓包是加密的,我给个解密后的结构化数据的截图吧。

隐私数据已经打码。

    6
aveline   2014-10-30 16:34:53 +08:00
@eriale 我知道这事儿,但是觉得产品看起来不错就试用了下。
:-) 果然不能太相信国内厂商的道德水平
    7
beddo   2014-10-30 16:39:23 +08:00
我赞助工具,真人PK。
地址:苏州市园区 生物纳米园 C2栋101 新科兰德科技有限公司
联系电话:0512-62391880
传真:0512-62391880
    8
wangyongbo   2014-10-30 16:43:26 +08:00
幸好,我们只使用了它的API。没有内嵌SDK
    9
unionx   2014-10-30 16:55:34 +08:00
看热闹不怕事儿大
    10
mgc   2014-10-30 16:57:13 +08:00   ♥ 11
10月27日,由聚合数据主办的2014聚合开发者大会(JDDC)在北京国际会议中心隆重召开。座上宾有老牌密码明文存储先驱CSDN,中文第二搜索引擎360搜索,京东金融,微软云计算中国,蓝港在线,皮包公司sdk.cn等和一些资本合伙人,基金经理人等
    11
fengchang   2014-10-30 16:57:50 +08:00
我去...幸好我也只用了它的API

另外说起来聚合的服务还是不错的,还有一家叫HaoService的服务整天各种出错,还不如聚合
    12
fengchang   2014-10-30 16:58:34 +08:00
@mgc 老牌密码明文存储先驱CSDN 哈哈哈笑死我了
    13
arslion   2014-10-30 17:01:00 +08:00
@eriale 我就猜到会有人翻出来这帖 ;)
    14
cvrock   2014-10-30 17:05:02 +08:00   ♥ 1
这种毫无道德底线的公司就该被告到死,相关人员全部追责。
    15
tboy   2014-10-30 17:12:52 +08:00
挖出sdk里的api 直接用好了
    16
homever   2014-10-30 17:17:43 +08:00
来看看这次是如何危机公关的
    17
herozzm   2014-10-30 17:17:49 +08:00
他们的短息好贵,9分/条,抢人啊
    18
chilaoqi   2014-10-30 17:34:58 +08:00
"老牌密码明文存储先驱CSDN", 谢谢你让我笑了好久。
    19
icedx   2014-10-30 18:01:38 +08:00
大新闻!
    20
miyuki   2014-10-30 18:05:08 +08:00 via Android
万火留
    21
iyaozhen   2014-10-30 18:07:53 +08:00
卧槽,我一直在用聚合的api,还推荐SDK给客户端开发的同学。
    22
66450146   2014-10-30 18:13:08 +08:00
disPlayName 笑了。。。
    23
welsmann   2014-10-30 18:14:57 +08:00
他们的API限制越来越严格,很多以前的额度都取消了,而且看架势是要强推SDK的。
    24
passluo   2014-10-30 18:18:56 +08:00
那个。说个无关的, @aveline 你抓包用的啥工具呀?
    25
aveline   2014-10-30 18:22:11 +08:00   ♥ 3
    26
tmkook   2014-10-30 18:23:01 +08:00
扯淡群帮顶
    27
homever   2014-10-30 18:25:05 +08:00
@chilaoqi 😁
    28
dongbeta   2014-10-30 18:26:33 +08:00
@aveline 我原以为只有360的SDK会这么做
    29
ccbikai   2014-10-30 18:35:01 +08:00
官网首页写着“ [09-24] 聚合数据SDK发布了,所有数据一次搞定!!!”
    30
FrankFang128   2014-10-30 18:35:52 +08:00 via Android
@fdb713 哟 碰到你了。
    31
usedname   2014-10-30 18:47:28 +08:00 via Android
@dongbeta 360也就是带了个头
    32
dongbeta   2014-10-30 18:49:07 +08:00
@usedname 我们接入360的SDK的时候,都不敢用自己的手机测试。
    33
silentyear   2014-10-30 18:54:55 +08:00 via Android
真是无耻!知道这个网站,有时候想,这网站还有人用?看来真有人用哈!
    34
silentyear   2014-10-30 18:56:20 +08:00 via Android
你怎么解密的?
    35
subpo   2014-10-30 18:58:03 +08:00
说实话,现在初创企业有多少能做到不作恶的,现在这个年代,不沾满献血是爬不高的,小米也是360也是,都不容易啊~
    36
20150517   2014-10-30 19:10:17 +08:00
你们是怎么抓取的这数据
    37
lazybios   2014-10-30 19:12:51 +08:00
冰山一角~ 看看各公司的运营制度 你就知道你那点隐私多么微不足道了 -.-
    38
iptux   2014-10-30 19:22:33 +08:00
@subpo
「通过干干净净的赚钱证明干干净净地赚钱是可能的;通过实现理想证明实现理想是可能的;通过改变世界证明改变世界是可能的;即使是在中国。」 ── 罗永浩(老罗)
    39
LukeXuan   2014-10-30 19:26:50 +08:00 via Android
火前留名
    40
wzxjohn   2014-10-30 19:34:48 +08:00 via iPhone
看来又要多屏蔽一个地址了。。。
    41
wzxjohn   2014-10-30 19:40:17 +08:00 via iPhone
@showlife 不出来解释一下?
    42
GeekGao   2014-10-30 19:57:46 +08:00
这公司真过分了!
    43
passluo   2014-10-30 20:00:02 +08:00 via Android
谢谢~
    44
xming   2014-10-30 20:13:07 +08:00
占个坑
    45
sivacohan   2014-10-30 20:19:36 +08:00 via Android
是什么触发了你想要抓包?还是习惯性?
    46
aveline   2014-10-30 20:20:48 +08:00
@sivacohan 习惯性抓包 :-D
    47
bitwing   2014-10-30 22:29:57 +08:00
    48
lj0014   2014-10-30 23:00:34 +08:00
赞!加密了也难逃广大群众的法眼
    49
iLiberty   2014-10-30 23:27:58 +08:00
我是不是要说
前留名呢...
现在的公司也是够了 职业操守去哪里了!!!
    50
01552799   2014-10-30 23:37:05 +08:00
@eriale 挖的好!
    51
faintcat   2014-10-31 00:34:42 +08:00   ♥ 1
一家的公司的道德值和公司老板的道德值关系密切……
    52
Viztor   2014-10-31 00:38:58 +08:00
习惯性抓包 (¬_¬)看来大家都需要这个习惯。。
    53
tywtyw2002   2014-10-31 02:23:27 +08:00
没事就要抓抓包,知道api了,我们找几台服务器把它刷爆吧。
    54
Anylei   2014-10-31 02:47:09 +08:00
若事情为真,则是坑了集成该SDK的App的最终用户和开发者(的所在公司),作为**互联网数据服务提供者**这样“一网打尽”也算是牛逼到家了。
    55
aku   2014-10-31 03:11:19 +08:00
    56
11   2014-10-31 03:34:34 +08:00
怎么解密的。。?
    57
ashamp   2014-10-31 05:33:35 +08:00
太过分了!
    58
konakona   2014-10-31 06:21:41 +08:00
之前幫一個客戶使用聚合API開發了一些WEB端的東西,就感覺到聚合的技術真的不怎麽樣,bug一大堆,責任心也很弱。
就沒打算再繼續使用他們的產品,想不到行為這麽惡劣……
    59
HunterPan   2014-10-31 08:53:59 +08:00
在使用他们的基站数据 还好
    60
LINAICAI   2014-10-31 09:22:58 +08:00
呵呵,看了api各种限制,还收钱,就没用了,没想到还做这么过分的事情,真的太不道德了,把安卓那套用到这里来。。。
对聚合真是没感
    61
billsmt   2014-10-31 09:27:11 +08:00
@eriale 很好奇是怎么破解算法的?大牛
    62
Numbcoder   2014-10-31 09:29:54 +08:00
iOS 如果不给通讯录权限,应该是无法获取把?
    63
anyexxx   2014-10-31 09:47:33 +08:00
简直就是恶劣。。谁用谁被坑的节奏呀。。
    64
fangzhzh   2014-10-31 09:53:26 +08:00
精彩
    65
fork3rt   2014-10-31 09:55:23 +08:00
- -我去过他们公司|||
    66
feilaoda   2014-10-31 10:10:22 +08:00
这种直接http不加密,而且只传一个key进行标识APP的API,简直就是为开发者设定的地雷,随随便便就能把你的账单刷爆。

使用juhe的开发者小心了。
    67
fangzhzh   2014-10-31 10:35:18 +08:00
感觉最多一天,就会有人来洗地。
比如中国创业公司都这样,干吗盯着他们;比如别人都是肮脏到,他们也是不得以;比如,已经改过了,干吗还盯着不放,给国内创业公司一条生路,版主删了吧之类的, lol
    68
ClownQiang   2014-10-31 10:54:48 +08:00
火钳刘明
    69
panlilu   2014-10-31 11:28:47 +08:00
看了一下聚合下面的“他们也在用聚合”,我觉得我的隐私已经没了- -。
    70
unnya   2014-10-31 11:43:48 +08:00   ♥ 1

X


O
    71
azuginnen   2014-10-31 11:48:28 +08:00
    72
woyao   2014-10-31 11:56:59 +08:00
@aveline 求旧版SDK
    73
aveline   2014-10-31 12:18:04 +08:00
    74
momou   2014-10-31 12:18:56 +08:00
国产软件在我的手机里都是没有通信录读写权限的。。。
    75
vigoss   2014-10-31 12:25:26 +08:00
@aveline 请问是怎么解密的
    76
sanddudu   2014-10-31 12:27:51 +08:00 via iPhone
@vigoss 我记得 Charles 付费版有抓 https 的功能
    77
aveline   2014-10-31 12:29:23 +08:00
@sanddudu 虽然是付费版,不过 ... 他们接口是走 HTTP 的
    78
aisk   2014-10-31 12:33:36 +08:00
我说为何看到楼主的头像如此眼熟
    79
cloudcache   2014-10-31 12:34:48 +08:00
哈哈哈。。偷数据的贼!
    80
sanddudu   2014-10-31 12:44:55 +08:00 via iPhone
@aveline 我次奥,这也太过分了吧
    81
sanddudu   2014-10-31 12:45:33 +08:00 via iPhone
@aisk 凉宫春日
    82
well   2014-10-31 13:19:52 +08:00
这年代,窃取数据似乎都成行规了,一点道德底线都没有。什么世道。
    83
guangwong   2014-10-31 13:37:20 +08:00
么么哒
    84
tywtyw2002   2014-10-31 13:42:07 +08:00
@sanddudu https 用mitmproxy就好了
    85
chasion   2014-10-31 14:04:57 +08:00
哈哈,见怪不怪了! 再说了,IOS系统 获取你联系人的时候,不是有弹窗提示么? 拒绝就好了!!!
    86
jakwings   2014-10-31 14:22:35 +08:00
下次我也检查支付宝控件看看。
    87
lepture   2014-10-31 16:14:15 +08:00
@momou 所有的软件在我都不给通讯录权限。
    88
momou   2014-10-31 16:21:26 +08:00
@lepture 那你用谷歌的软件就没有意义了。。。
    89
chens   2014-10-31 22:31:50 +08:00
长叹一声。
    90
NathanInMac   2014-11-01 00:19:50 +08:00
tm的好失望
    91
w10489871   2014-11-03 16:06:01 +08:00
楼主有android老版的sdk吗~想看看~
    92
lepture   2014-11-03 17:12:07 +08:00
@momou 我不用 Android
    93
WilliamSang   2016-08-11 00:15:17 +08:00
然而,已经估值 5 亿美金了
关于   ·   FAQ   ·   API   ·   我们的愿景   ·   广告投放   ·   感谢   ·   实用小工具   ·   721 人在线   最高记录 3762   ·  
创意工作者们的社区
World is powered by solitude
VERSION: 3.9.8.1 · 30ms · UTC 19:21 · PVG 03:21 · LAX 12:21 · JFK 15:21
♥ Do have faith in what you're doing.
沪ICP备16043287号-1