支付宝被发现会悄悄偷拍 (via Solidot)

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

已注册用户请登录

这是一个创建于 2982 天前的主题，其中的信息可能已经有所发展或是发生改变。

国产移动应用的权限需求和后台活动再次引发了关注，这一次又是支付宝。支付宝是最流行的中国移动应用之一，安装量有数亿之多，它的体积庞大功能庞杂，用户根本无法了解它在后台究竟会干什么。 Twitter 用户 typcn 报告称，“支付宝安卓版每隔 X 分钟（服务器指定）会在后台开启摄像头拍照，录音 X 秒，然后上传到服务器上。”作者进一步指出，支付宝的偷拍是“开启相机预览，设置相机预览回调，然后从相机预览的画面里面拿一帧，这样不会调用 takePhoto ，在部分强制开启拍照声音的手机上，也不会出现声音，因为是在预览缓冲中拿的图像。”知乎上有相关讨论，尚未看到支付宝官方的回应。

支付宝

预览

后台

相机

124 条回复 • 2016-02-28 05:58:35 +08:00

1 2

❮

❯

airyland

2016-02-23 12:20:47 +08:00 via iPhone

记得这里有相关帖子

SpicyCat

2016-02-23 12:31:45 +08:00

有知乎链接么

napsterwu

2016-02-23 12:32:43 +08:00

https://www.v2ex.com/t/258407

IgniteWhite

2016-02-23 12:36:59 +08:00

@napsterwu 666

lovewilliam

2016-02-23 12:47:53 +08:00

国产软件就是牛。

Delbert

2016-02-23 12:50:33 +08:00 via Android

不用 twitter ，就是 @typcn

GPU

2016-02-23 13:15:01 +08:00

我记得 typcn 还刚刚够 18 岁什么的。

GPU

2016-02-23 13:25:01 +08:00

与 Andy1999 是基友好像。 C++ 论坛好像是他写的

robinlovemaggie

2016-02-23 13:28:10 +08:00

贵支。。。。

typcn

2016-02-23 13:37:13 +08:00

当时抓到的那个图中支付宝设置了 previewCallback 通过预览来偷拍。
但是现在支付宝不再设置 previewCallback 了，只是 startPreview ，大概就是打开相机预览，什么都不干，然后再关闭，你也不知道他具体在干什么。
（不确定 startRecording 录音是否还在继续，昨天晚上测试的录音还是会的）

支付宝有大概 1/4 的代码都是动态加载的，支付宝 libs 里面的 so 文件，其实根本不是动态库，就是一个一个完整的 APK ，有的 so 还是从他的服务器上远程加载的，但其实那些 so 文件，全部都是 apk ，有着完整的 apk 结构， drawable ， dex 都有，这些 apk 动态插入到主程序里面执行。

这种高动态的程序，证据抓到的可能性已经趋近于 0 了

之前支付宝有一个版本，没走应用市场，是应用内推送更新的，半夜玩手机的时候，突然听到咔嚓一声，打开支付宝，也是咔嚓一声，群里也有人讨论了这个问题，当时还有人给支付宝客服打了电话，次日的支付宝就发布了新版，走了应用市场，更新掉了这个版本。我想这里也可能有人遇到过。

他急急忙忙更新掉这个版本，而不是热修补，说明这个版本中拍照的代码是直接内置在了程序里的，而且拍照有声音肯定是用了 takePicture() ，要是有这个版本的话，反编译就可以直接抓到作恶的铁证。

但是我找了很长时间没有找到这个版本，因为当时的截图丢了，也不知道具体的小版本号，一个一个翻了很长时间也没有找到。。我也没有那么长时间一直在这肛支付宝。。。。。

这事大概就只能这样了。。

我只能做到告诉大家这是一个什么样的软件，我也没有办法找到证据，信不信就由你自己看了吧。。。。

大家写每一个项目的时候，一定要记住：最好的防止泄漏用户隐私的方法，就是不要收集

doublleft

2016-02-23 13:42:47 +08:00

我记得有一款手机的摄像头是可伸缩的，使用时会展开。

然后好多用户反馈自己的摄像头总是自己一伸一缩，以为出故障了。
结果大家讨论，发现很有可能是什么应用用摄像头…

clino

2016-02-23 13:45:31 +08:00

@typcn 3Q 大战时候的那些武器在 android 上重现了

typcn

2016-02-23 13:46:43 +08:00

@doublleft http://imgur.com/furlDoK
http://imgur.com/furlDoK

dong3580

2016-02-23 13:47:11 +08:00

@typcn
我手机上有几个谷歌商店备份的版本，你要不要玩玩？

typcn

2016-02-23 13:47:50 +08:00

http://imgur.com/YEJXsk4

typcn

2016-02-23 13:49:02 +08:00

@dong3580 那个版本没有通过任何市场更新，国内市场也没有。。。是应用内的推送更新

dong3580

2016-02-23 13:50:47 +08:00

@typcn
那就没了，应用内推的我都直接拒绝，去年 8-11 月貌似推送的比较严重，我记得还自动下 tb 客户端，

doublleft

2016-02-23 13:50:48 +08:00

@typcn 哈哈哈哈哈哈哈哈

Mutoo

2016-02-23 13:51:20 +08:00

@doublleft 画面感好强 lol

dong3580

2016-02-23 13:52:30 +08:00

@typcn
发动 v2 的强迫症备份童鞋肯定可以找到的，我目前有这些版本，都是比较新的，早期有很多备份删了：
8.6.0.040305
9.1.0.091801
9.2.0.101408
9.5.1.011302

kn007

2016-02-23 14:00:48 +08:00

@typcn 这画面感好强，居然还能伸出来的

bleaker

2016-02-23 14:25:54 +08:00 via iPhone

一个朋友自己编译的 kernel ，相机部分没做好，调用时经常会系统卡死，之前系统经常莫名其妙自己卡死，删了支付宝就好了。不知道能不能算旁证

sunng

2016-02-23 14:29:34 +08:00

@dong3580 是的，我被支付宝后台偷偷下载过阿里旅行，直接把安装界面弹出来，好像一盘刚拉出来的屎端上来给你。

lancelot

2016-02-23 14:33:43 +08:00

使用支付宝耗电特别大的原因可能是这个。

fowse

2016-02-23 14:35:17 +08:00

我也转一个评论吧，首先声明，只是转没有任何倾向，并不对所转的内容负责。
转 @gravity0 几天前微信钱包提现收费，不过是希望大家多用它支付，而不是抢完红包提现走人，被对手大肆炒作。如今支付宝的拍照录音风波可以视作是反击。舆论战的好玩之处就在于总有花钱和不花钱的雇佣兵自愿投入搬弄是非的战斗。

下面说说我的带有倾向的个人看法：
支付宝不是个东西，微信比它要强很多。

hronro

2016-02-23 14:52:39 +08:00

这尼玛，吓死宝宝了

DaraW

2016-02-23 14:57:07 +08:00

突然想起来手机现在的 ROM 的相机调用有 bug ，支付婊二维码都不能扫码，一点不慌。另外一直支付婊淘婊什么的不用都冻结着

matsuijurina

2016-02-23 15:08:28 +08:00 via Android

找了一台山寨安卓平板，既没有摄像头也没有麦克风，当然也没有通讯录，顺手 root 了。在上面装满了各种像支付宝这样的国产 app ，看着后台此起彼伏的进程，有一种养蛊的感觉。

xia0chun

2016-02-23 15:46:04 +08:00

@matsuijurina 666

BSD

2016-02-23 15:53:24 +08:00

@matsuijurina 对付国产流氓 app ，就得这么干，我一直就这么做的。

Procyon

2016-02-23 15:55:26 +08:00 via Android

@matsuijurina 随身携带寨板？

zaqxsw123nm

2016-02-23 16:07:29 +08:00

@matsuijurina 真是老司机！

rim99

2016-02-23 16:31:32 +08:00

@matsuijurina 看来淘汰的安卓手机也能这么干

IgniteWhite

2016-02-23 16:43:50 +08:00

@matsuijurina 哈哈哈

yongzhong

2016-02-23 16:57:33 +08:00

今天看到新闻后我把支付宝的拍照权限从允许改为了询问,下午就遇到了手机只是放在那里,结果界面弹出了支付宝请求拍照权限,瞬间呵呵了

sdysj

2016-02-23 17:13:16 +08:00

旺旺 QQ 标准版那个 xxxProtect 笑而不语。。。删掉后启动主程序自动下载自动安装自动运行自动恢复服务。。。国人脑筋就花在这些内斗身上了，结论早翻早解脱。。。

jakes

2016-02-23 17:31:13 +08:00 via Android

我安卓手机经常解锁的时候显示的是 uc 的下载页面，而且是 360 手机管家的下载页面。

aivier

2016-02-23 17:35:22 +08:00

自从 App 启动就拍照开始，禁用了所有权限

kmahyyg

2016-02-23 18:14:03 +08:00

支付宝发长微博称，安卓版支付宝不会后台自动启用摄像头拍照和录音，也不会将将其上传到·服务器，对于某些提前申请的权限，将会在 Android 6.0 以上的版本进行优化，以避免用户误解。同时，支付宝将采取法律手段维护自己的权益。

tmd 6.0+要你优化
系统自己就不给这权限

liyiecho

2016-02-23 18:17:51 +08:00

@kmahyyg 6.0 上面还是提示要获取几个权限，虽然可以关闭，但是 TM 的存储空间权限必须要给，不给就不给你用。。

binux

2016-02-23 18:20:55 +08:00

@typcn 请求相机权限也有可能想要检查一下功能是否可用啊，除非你有抓到其他证据排除这种可能，例如上传的证据。

paw

2016-02-23 18:41:49 +08:00

PC 上一个专门的虚拟机，装各种国产，主机上远离国产
还有一个 ipod 6gen ，专门装国产 APP ，主力手机上也是没任何国产。

跟这些流氓折腾..累..直接隔离开，你们爱怎么玩就怎么玩把！

Bown

2016-02-23 18:45:30 +08:00

我记得插件化方案有一个优化策略是把插件 apk 改名为 so 放到 libs 下，这样就会在安装 app 时而不是启动时复制插件到 dex 目录下，一定程度上解决初次加载插件卡顿问题

fantasy467047

2016-02-23 18:51:03 +08:00

@doublleft [支付宝为何不停后台开启摄像头？] 黄 biangbiang ：我的手机摄像头是弹出式的放在桌子上没事就弹一下没事就弹一下原来是支付宝搞的鬼····… http://www.zhihu.com/question/33394341/answer/56385792 （分享自知乎网）

blackimpl

2016-02-23 18:54:22 +08:00

哎国民的智商

onvno

2016-02-23 19:06:06 +08:00

刚从知乎的链接回来，发现知乎尚且平静， V 站已经亢奋

clino

2016-02-23 20:41:09 +08:00

@typcn @doublleft @fowse @kmahyyg @binux
我今天关掉大部分支付宝的权限以后和 @yongzhong 一样,刚解锁想用一下手机,结果马上看到一个"支付宝正在打开摄像头,已拦截"
一看历史记录有一堆:

binux

2016-02-23 20:54:08 +08:00

@clino 但是并没有排除启动自检功能是否可用啊。

clino

2016-02-23 21:19:41 +08:00 via Android

@binux 人家支付宝已经保证绝对不会有这样的行为了 http://m.weibo.cn/1891502860/DjaXPpzes
而且这样的自检有意义吗需要这么频繁吗

binux

2016-02-23 21:37:34 +08:00

@clino 「支付宝已经保证绝对不会有这样的行为」保证不会有哪样的行为？

clino

2016-02-23 21:42:36 +08:00 via Android

@binux 你去看微博里的支付宝绝对不会的声明吧

binux

2016-02-23 21:49:11 +08:00

@clino 我看到的是绝对不会做额外的信息采集和后台操作，不会侵犯泄露任何用户饮食信息。你看到的是一样的吗？

typcn

2016-02-23 21:51:31 +08:00

@binux 他在这样做之前，已经做好预备方案了，就是动态变成你说的那样。
具体的不太想在 v2 说，我想应该可以想明白

clino

2016-02-23 21:53:02 +08:00

@binux 2. 最后面: 支付宝绝对不会"在用户不知情的情况下后台启动摄像头拍照或录音"

binux

2016-02-23 21:56:39 +08:00

@clino 你的贴图不能说明「在用户不知情的情况下后台启动摄像头拍照或录音」啊

clino

2016-02-23 22:04:13 +08:00

@binux 我是在关闭了大部分权限以后偶然发现打开摄像头被拦截以后采取看的这个拦截历史记录
我今天完全没有打开过支付宝支付宝的版本其实我一直没有升级,但是除夕那天都在咻我一打开强制我升级否则不给用才升的级平时极少开因为淘宝基本上是我老婆在负责买

binux

2016-02-23 22:15:30 +08:00

@clino 拦截历史并不能排除「申请摄像头权限并不等于实际启动摄像头」

ilikekindle

2016-02-23 22:21:51 +08:00

猜猜几楼是为支付宝捡球的？

snnn

2016-02-23 22:26:10 +08:00 via Android

@paw 虚拟机能用微信不？

yangqi

2016-02-23 22:27:34 +08:00

每次用完强制休眠的应该没问题吧？

clino

2016-02-23 22:45:37 +08:00

@binux 你说得没错并不等于但当然有可能
你不能否认的是很可疑

clino

2016-02-23 22:48:30 +08:00

@binux 另外我赞同这个回答: https://www.zhihu.com/question/40638556/answer/87747641
```
两种设计： 1. 每次启动时向用户”申请“摄像头权限。 2. 用户打开扫一扫的时候”申请“权限。有多少人会认为第一种做法对用户干扰更少？就算我每次打开支付宝后都要使用扫一扫，那提示的次数也是一样多的。而实际情况下比如我平时很少使用扫一扫，多数是付款码，那大多数情况下并不需要申请这个权限啊，然后每次打开都问我要权限，这个真的是为了“提升用户体验”？另一种情况，如果我选择始终禁用摄像头权限，实测结果支付宝启动后拿不到权限也就默默地继续下去了，也并没有弹出一个提示来告诉我啊，那么所谓”提前触发权限申请“的作用到底是什么？没拿到权限你也不嚷嚷一下啊，最后还是在扫一扫的时候才告诉我无法操作，那和”不提前触发权限申请“有区别吗？
```

Magnus1k

2016-02-23 22:49:31 +08:00 via iPhone

@binux 之前在知乎相关讨论中看到有人提出安卓无法在使用过程中做到“申请权限而不使用”如果看到了申请，就说明其实想使用。

binux

2016-02-23 22:57:57 +08:00

@typcn 那么说，你并没有抓到上传的直接证据？不管是不是它更新掉了。
@clino 那就是实际上，并没有直接证据说明支付宝的声明有问题咯。「每次打开都问我要权限」，默认没开权限限制的安卓手机，并不会有这个询问吧。
@Magnus1k 检测功能是否存在， JS 不经常这么干吗？

zongwan

2016-02-23 23:06:41 +08:00

Android API 设计的问题的话
只能说国产某些系统提示不到位或者官方漏洞

某些开发者是否能提供一个 sample APK 来检测系统是否存在这个漏洞?

liujiantao

2016-02-23 23:13:13 +08:00

clino

2016-02-23 23:18:28 +08:00 via Android

@binux '默认没开权限限制的安卓手机，并不会有这个询问吧'
那是不是说明更不需要搞什么提前获取了呢

binux

2016-02-23 23:27:04 +08:00

@clino 统一的功能检测，也是很常见的啊，比如统计下用户，有摄像头的比例。

zongwan

2016-02-23 23:35:47 +08:00

@binux
太牵强了
不过我也挺支付宝无恶意这点

开个摄像头,可能检测摄像头是否正常, 照相是否清晰, 对焦速度等.
虽然一般手机型号都会有介绍, 但详细的参数有些还是靠 API 才能获取到, 甚至有国产手机偷工减料

这些说的也太牵强了
关心隐私的人都会设置应用访问摄像头时询问吧?
呼吁手机系统厂商对隐私安全进一步加强, 要求摄像头访问除了相机外都设置为询问

Andy1999

2016-02-23 23:37:16 +08:00 via iPhone

@binux 666 洗地不用这么洗吧为了统计一下有摄像头比例的所以每次都请求？
那么这个数据一定是 100%吧，现在哪款手机不带摄像头？

xrui

2016-02-23 23:55:18 +08:00 via Android

看微博评论的意思大概是说，因为支付宝提现不收费，钱放着还有利息，过年还抢到红包了，就是听不惯有人说支付宝的不好，我乐意被泄露隐私，隐私泄露可我的钱又没少，我也没什么隐私，银行的钱被盗了拿不回来支付宝的被偷了就可以理赔，你这么黑支付宝，该不会是腾讯 /苹果的托吧。
联想到以前看过的 360 的，要不是 360 你现在还用一个月十几块钱的杀毒软件呢，泄露隐私跟我有什么关系，我有什么隐私电脑里一堆**随便上传，你这么黑 360 ，该不会是腾讯的托吧，这可是免费的杀软啊，这么黑他你的良心去哪里了

clino

2016-02-24 00:38:36 +08:00 via Android

@binux 这种检测不是做一次就好了吗？难道支付宝会担心我摄像头坏了这么好心一天这么勤奋地帮我检测哦还帮我检测能不能录音估计它想知道那么多设备有多少可以录音吧

binux

2016-02-24 01:12:09 +08:00

@zongwan 我不挺支付宝，它又没有证据完全排除掉真的没有侵犯隐私。
@clino 信息存内存里，进程被系统杀掉，重启的时候没有了呢？