请不要使用聚合数据的 SDK

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

• 请不要在回答技术问题时复制粘贴 AI 生成的内容

这是一个创建于 4018 天前的主题，其中的信息可能已经有所发展或是发生改变。

嗯 ... 虽然增加了它的曝光率还是说一下比较好 :-(

聚合数据（juhe.cn）的 SDK 启动时会要求读取通讯录的权限，然后加密发回到他们的服务器上。

通讯录数据内容并未做任何的脱敏处理，更加过分的是，特么的一个字段都没拉下啊 ...

姓名、昵称、地址、E-mail、手机号、组织等均被上传了

第 1 条附言 · 2014-10-30 17:52:51 +08:00

拿没在用的 iPhone 5 擦除，然后添加了虚假的通讯录条目。

重新跑了测试了下 SDK，发送的数据及解密后的原文见 Gist：

第 2 条附言 · 2014-10-31 09:41:16 +08:00

iOS 与 Android 分别于昨天晚上和今天早上已经更新，不再上传通讯录。

同时，老版本的 SDK 下载也都删掉了，不过我本地有备份啊。

以及做贼心虚的时候太紧张了吧，Changelog 里把 Android SDK 都打成 iOS SDK 了 :-D

聚合

sdk

字段

94 条回复 • 2019-05-25 11:08:10 +08:00

fdb713

2014-10-30 16:23:23 +08:00

点个蜡烛

sanddudu

2014-10-30 16:26:40 +08:00 via iPhone

有抓包的截图吗

eriale

2014-10-30 16:28:07 +08:00

我来挖个坟： http://www.v2ex.com/t/115368?p=4

66450146

2014-10-30 16:30:36 +08:00

他们居然还加密了，简直良心（喂

aveline

2014-10-30 16:31:45 +08:00

抓包是加密的，我给个解密后的结构化数据的截图吧。

隐私数据已经打码。

aveline

2014-10-30 16:34:53 +08:00

@eriale 我知道这事儿，但是觉得产品看起来不错就试用了下。
:-) 果然不能太相信国内厂商的道德水平

beddo

2014-10-30 16:39:23 +08:00

我赞助工具，真人PK。
地址：苏州市园区生物纳米园 C2栋101 新科兰德科技有限公司
联系电话：0512-62391880
传真：0512-62391880

wangyongbo

2014-10-30 16:43:26 +08:00

幸好，我们只使用了它的API。没有内嵌SDK

unionx

2014-10-30 16:55:34 +08:00

看热闹不怕事儿大

mgc

2014-10-30 16:57:13 +08:00

10月27日，由聚合数据主办的2014聚合开发者大会(JDDC)在北京国际会议中心隆重召开。座上宾有老牌密码明文存储先驱CSDN，中文第二搜索引擎360搜索，京东金融，微软云计算中国，蓝港在线，皮包公司sdk.cn等和一些资本合伙人，基金经理人等

fengchang

2014-10-30 16:57:50 +08:00

我去...幸好我也只用了它的API

另外说起来聚合的服务还是不错的，还有一家叫HaoService的服务整天各种出错，还不如聚合

fengchang

2014-10-30 16:58:34 +08:00

@mgc 老牌密码明文存储先驱CSDN 哈哈哈笑死我了

arslion

2014-10-30 17:01:00 +08:00

@eriale 我就猜到会有人翻出来这帖 ;)

cvrock

2014-10-30 17:05:02 +08:00

这种毫无道德底线的公司就该被告到死，相关人员全部追责。

tboy

2014-10-30 17:12:52 +08:00

挖出sdk里的api 直接用好了

homever

2014-10-30 17:17:43 +08:00

来看看这次是如何危机公关的

herozzm

2014-10-30 17:17:49 +08:00

他们的短息好贵，9分/条，抢人啊

chilaoqi

2014-10-30 17:34:58 +08:00

"老牌密码明文存储先驱CSDN"，谢谢你让我笑了好久。

icedx

2014-10-30 18:01:38 +08:00

大新闻!

miyuki

2014-10-30 18:05:08 +08:00 via Android

万火留

iyaozhen

2014-10-30 18:07:53 +08:00

卧槽，我一直在用聚合的api，还推荐SDK给客户端开发的同学。

66450146

2014-10-30 18:13:08 +08:00

disPlayName 笑了。。。

welsmann

2014-10-30 18:14:57 +08:00

他们的API限制越来越严格，很多以前的额度都取消了，而且看架势是要强推SDK的。

passluo

2014-10-30 18:18:56 +08:00

那个。说个无关的， @aveline 你抓包用的啥工具呀？

aveline

2014-10-30 18:22:11 +08:00

@passluo Charles
http://www.charlesproxy.com/

tmkook

PRO

2014-10-30 18:23:01 +08:00

扯淡群帮顶

homever

2014-10-30 18:25:05 +08:00

@chilaoqi 😁

dongbeta

2014-10-30 18:26:33 +08:00

@aveline 我原以为只有360的SDK会这么做

ccbikai

PRO

2014-10-30 18:35:01 +08:00

官网首页写着“ [09-24] 聚合数据SDK发布了，所有数据一次搞定！！！”

FrankFang128

2014-10-30 18:35:52 +08:00 via Android

@fdb713 哟碰到你了。

usedname

2014-10-30 18:47:28 +08:00 via Android

@dongbeta 360也就是带了个头

dongbeta

2014-10-30 18:49:07 +08:00

@usedname 我们接入360的SDK的时候，都不敢用自己的手机测试。

silentyear

2014-10-30 18:54:55 +08:00 via Android

真是无耻！知道这个网站，有时候想，这网站还有人用？看来真有人用哈！

silentyear

2014-10-30 18:56:20 +08:00 via Android

你怎么解密的？

subpo

PRO

2014-10-30 18:58:03 +08:00

说实话，现在初创企业有多少能做到不作恶的，现在这个年代，不沾满献血是爬不高的，小米也是360也是，都不容易啊～

20150517

2014-10-30 19:10:17 +08:00

你们是怎么抓取的这数据

lazybios

2014-10-30 19:12:51 +08:00

冰山一角~ 看看各公司的运营制度你就知道你那点隐私多么微不足道了 -.-

iptux

2014-10-30 19:22:33 +08:00

@subpo
「通过干干净净的赚钱证明干干净净地赚钱是可能的；通过实现理想证明实现理想是可能的；通过改变世界证明改变世界是可能的；即使是在中国。」 ── 罗永浩（老罗）

LukeXuan

2014-10-30 19:26:50 +08:00 via Android

火前留名

wzxjohn

2014-10-30 19:34:48 +08:00 via iPhone

看来又要多屏蔽一个地址了。。。

wzxjohn

2014-10-30 19:40:17 +08:00 via iPhone

@showlife 不出来解释一下？

R4rvZ6agNVWr56V0

2014-10-30 19:57:46 +08:00

这公司真过分了！

passluo

2014-10-30 20:00:02 +08:00 via Android

谢谢~

xming

2014-10-30 20:13:07 +08:00

占个坑

sivacohan

PRO

2014-10-30 20:19:36 +08:00 via Android

是什么触发了你想要抓包？还是习惯性？

aveline

2014-10-30 20:20:48 +08:00

@sivacohan 习惯性抓包 :-D

bitwing

2014-10-30 22:29:57 +08:00

http://thehackernews.com/2014/10/sony-xperia-devices-secretly-sending.html
http://www.ithome.com.tw/news/90118

PS：今天热议就这个帖子还好

lj0014

2014-10-30 23:00:34 +08:00

赞！加密了也难逃广大群众的法眼

iLiberty

2014-10-30 23:27:58 +08:00

我是不是要说

前留名呢...
现在的公司也是够了职业操守去哪里了！！！

01552799

2014-10-30 23:37:05 +08:00

@eriale 挖的好！

faintcat

2014-10-31 00:34:42 +08:00

一家的公司的道德值和公司老板的道德值关系密切……

Viztor

2014-10-31 00:38:58 +08:00

习惯性抓包 (¬_¬)看来大家都需要这个习惯。。

tywtyw2002

2014-10-31 02:23:27 +08:00

没事就要抓抓包，知道api了，我们找几台服务器把它刷爆吧。

Anylei

2014-10-31 02:47:09 +08:00

若事情为真，则是坑了集成该SDK的App的最终用户和开发者（的所在公司），作为**互联网数据服务提供者**这样“一网打尽”也算是牛逼到家了。

aku

2014-10-31 03:11:19 +08:00

已上solidot
http://www.solidot.org/story?sid=41684&threshold=0

2014-10-31 03:34:34 +08:00

怎么解密的。。？

ashamp

2014-10-31 05:33:35 +08:00

太过分了！

konakona

2014-10-31 06:21:41 +08:00

之前幫一個客戶使用聚合API開發了一些WEB端的東西，就感覺到聚合的技術真的不怎麽樣，bug一大堆，責任心也很弱。
就沒打算再繼續使用他們的產品，想不到行為這麽惡劣……

HunterPan

2014-10-31 08:53:59 +08:00

在使用他们的基站数据还好

LINAICAI

2014-10-31 09:22:58 +08:00

呵呵，看了api各种限制，还收钱，就没用了，没想到还做这么过分的事情，真的太不道德了，把安卓那套用到这里来。。。
对聚合真是没感

billsmt

2014-10-31 09:27:11 +08:00

@eriale 很好奇是怎么破解算法的？大牛

Numbcoder

2014-10-31 09:29:54 +08:00

iOS 如果不给通讯录权限，应该是无法获取把？

anyexxx

2014-10-31 09:47:33 +08:00

简直就是恶劣。。谁用谁被坑的节奏呀。。

fangzhzh

2014-10-31 09:53:26 +08:00

精彩

fork3rt

2014-10-31 09:55:23 +08:00

- -我去过他们公司|||

feilaoda

2014-10-31 10:10:22 +08:00

这种直接http不加密，而且只传一个key进行标识APP的API，简直就是为开发者设定的地雷，随随便便就能把你的账单刷爆。

使用juhe的开发者小心了。

fangzhzh

2014-10-31 10:35:18 +08:00

感觉最多一天，就会有人来洗地。
比如中国创业公司都这样，干吗盯着他们；比如别人都是肮脏到，他们也是不得以；比如，已经改过了，干吗还盯着不放，给国内创业公司一条生路，版主删了吧之类的， lol

ClownQiang

2014-10-31 10:54:48 +08:00

火钳刘明

panlilu

2014-10-31 11:28:47 +08:00

看了一下聚合下面的“他们也在用聚合”，我觉得我的隐私已经没了- -。

unnya

2014-10-31 11:43:48 +08:00

azuginnen

2014-10-31 11:48:28 +08:00

woyao

2014-10-31 11:56:59 +08:00

@aveline 求旧版SDK

aveline

2014-10-31 12:18:04 +08:00

@woyao

https://mega.co.nz/#F!NdMXWAKJ!LP8dpbbcFAj6p_H-bOEpPQ

附上 iOS SDK 的 diff

https://gist.github.com/ym/6ba5eb6b23aade5772c4

momou

2014-10-31 12:18:56 +08:00

国产软件在我的手机里都是没有通信录读写权限的。。。

leveraging

2014-10-31 12:25:26 +08:00

@aveline 请问是怎么解密的

sanddudu

2014-10-31 12:27:51 +08:00 via iPhone

@vigoss 我记得 Charles 付费版有抓 https 的功能

aveline

2014-10-31 12:29:23 +08:00

@sanddudu 虽然是付费版，不过 ... 他们接口是走 HTTP 的

aisk

2014-10-31 12:33:36 +08:00

我说为何看到楼主的头像如此眼熟

cloudcache

2014-10-31 12:34:48 +08:00

哈哈哈。。偷数据的贼！

sanddudu

2014-10-31 12:44:55 +08:00 via iPhone

@aveline 我次奥，这也太过分了吧

sanddudu

2014-10-31 12:45:33 +08:00 via iPhone

@aisk 凉宫春日

well

2014-10-31 13:19:52 +08:00

这年代，窃取数据似乎都成行规了，一点道德底线都没有。什么世道。

guangwong

2014-10-31 13:37:20 +08:00

么么哒

tywtyw2002

2014-10-31 13:42:07 +08:00

@sanddudu https 用mitmproxy就好了

chasion

2014-10-31 14:04:57 +08:00

哈哈，见怪不怪了！再说了，IOS系统获取你联系人的时候，不是有弹窗提示么？拒绝就好了！！！

jakwings

2014-10-31 14:22:35 +08:00

下次我也检查支付宝控件看看。

lepture

2014-10-31 16:14:15 +08:00

@momou 所有的软件在我都不给通讯录权限。

momou

2014-10-31 16:21:26 +08:00

@lepture 那你用谷歌的软件就没有意义了。。。

chens

2014-10-31 22:31:50 +08:00

长叹一声。

NathanInMac

2014-11-01 00:19:50 +08:00

tm的好失望

w10489871

2014-11-03 16:06:01 +08:00

楼主有android老版的sdk吗~想看看~

lepture

2014-11-03 17:12:07 +08:00

@momou 我不用 Android

WilliamSang

2016-08-11 00:15:17 +08:00

然而，已经估值 5 亿美金了

awhane

2019-05-25 11:08:10 +08:00

卧槽，当时太着急了，没全部测试就买了，结果数据特么太特么不稳定了，数据还不准。
大周六的，工单没人回、QQ 没人回、电话没人接、邮箱没人回