• 请不要在回答技术问题时复制粘贴 AI 生成的内容
aveline
V2EX  ›  程序员

请不要使用聚合数据的 SDK

  aveline ·
ym · Oct 30, 2014 · 35490 views
This topic created in 4387 days ago, the information mentioned may be changed or developed.
嗯 ... 虽然增加了它的曝光率还是说一下比较好 :-(

聚合数据(juhe.cn)的 SDK 启动时会要求读取通讯录的权限,然后加密发回到他们的服务器上。

通讯录数据内容并未做任何的脱敏处理,更加过分的是,特么的一个字段都没拉下啊 ...

姓名、昵称、地址、E-mail、手机号、组织等均被上传了
Supplement 1  ·  Oct 30, 2014
拿没在用的 iPhone 5 擦除,然后添加了虚假的通讯录条目。

重新跑了测试了下 SDK,发送的数据及解密后的原文见 Gist:

Supplement 2  ·  Oct 31, 2014
iOS 与 Android 分别于昨天晚上和今天早上已经更新,不再上传通讯录。

同时,老版本的 SDK 下载也都删掉了,不过我本地有备份啊。

以及做贼心虚的时候太紧张了吧,Changelog 里把 Android SDK 都打成 iOS SDK 了 :-D


94 replies  •  2019-05-25 11:08:10 +08:00
fdb713
fdb713
Oct 30, 2014
1
点个蜡烛
sanddudu
sanddudu
Oct 30, 2014 via iPhone
2
有抓包的截图吗
eriale
eriale
Oct 30, 2014❤️3
3
66450146
66450146
Oct 30, 2014
4
他们居然还加密了,简直良心(喂
aveline
aveline
OP
Oct 30, 2014
5
抓包是加密的,我给个解密后的结构化数据的截图吧。

隐私数据已经打码。

aveline
aveline
OP
Oct 30, 2014
6
@eriale 我知道这事儿,但是觉得产品看起来不错就试用了下。
:-) 果然不能太相信国内厂商的道德水平
beddo
beddo
Oct 30, 2014
7
我赞助工具,真人PK。
地址:苏州市园区 生物纳米园 C2栋101 新科兰德科技有限公司
联系电话:0512-62391880
传真:0512-62391880
wangyongbo
wangyongbo
Oct 30, 2014
8
幸好,我们只使用了它的API。没有内嵌SDK
unionx
unionx
Oct 30, 2014
9
看热闹不怕事儿大
mgc
mgc
Oct 30, 2014❤️11
10
10月27日,由聚合数据主办的2014聚合开发者大会(JDDC)在北京国际会议中心隆重召开。座上宾有老牌密码明文存储先驱CSDN,中文第二搜索引擎360搜索,京东金融,微软云计算中国,蓝港在线,皮包公司sdk.cn等和一些资本合伙人,基金经理人等
fengchang
fengchang
Oct 30, 2014
11
我去...幸好我也只用了它的API

另外说起来聚合的服务还是不错的,还有一家叫HaoService的服务整天各种出错,还不如聚合
fengchang
fengchang
Oct 30, 2014
12
@mgc 老牌密码明文存储先驱CSDN 哈哈哈笑死我了
arslion
arslion
Oct 30, 2014
13
@eriale 我就猜到会有人翻出来这帖 ;)
cvrock
cvrock
Oct 30, 2014❤️1
14
这种毫无道德底线的公司就该被告到死,相关人员全部追责。
tboy
tboy
Oct 30, 2014
15
挖出sdk里的api 直接用好了
homever
homever
Oct 30, 2014
16
来看看这次是如何危机公关的
herozzm
herozzm
Oct 30, 2014
17
他们的短息好贵,9分/条,抢人啊
chilaoqi
chilaoqi
Oct 30, 2014
18
"老牌密码明文存储先驱CSDN", 谢谢你让我笑了好久。
icedx
icedx
Oct 30, 2014
19
大新闻!
miyuki
miyuki
Oct 30, 2014 via Android
20
万火留
iyaozhen
iyaozhen
Oct 30, 2014
21
卧槽,我一直在用聚合的api,还推荐SDK给客户端开发的同学。
66450146
66450146
Oct 30, 2014
22
disPlayName 笑了。。。
welsmann
welsmann
Oct 30, 2014
23
他们的API限制越来越严格,很多以前的额度都取消了,而且看架势是要强推SDK的。
passluo
passluo
Oct 30, 2014
24
那个。说个无关的, @aveline 你抓包用的啥工具呀?
aveline
aveline
OP
Oct 30, 2014❤️3
25
tmkook
tmkook
PRO
Oct 30, 2014
26
扯淡群帮顶
homever
homever
Oct 30, 2014
27
@chilaoqi 😁
dongbeta
dongbeta
Oct 30, 2014
28
@aveline 我原以为只有360的SDK会这么做
messagebus
messagebus
Oct 30, 2014
29
官网首页写着“ [09-24] 聚合数据SDK发布了,所有数据一次搞定!!!”
FrankFang128
FrankFang128
Oct 30, 2014 via Android
30
@fdb713 哟 碰到你了。
usedname
usedname
Oct 30, 2014 via Android
31
@dongbeta 360也就是带了个头
dongbeta
dongbeta
Oct 30, 2014
32
@usedname 我们接入360的SDK的时候,都不敢用自己的手机测试。
silentyear
silentyear
Oct 30, 2014 via Android
33
真是无耻!知道这个网站,有时候想,这网站还有人用?看来真有人用哈!
silentyear
silentyear
Oct 30, 2014 via Android
34
你怎么解密的?
subpo
subpo
Oct 30, 2014
35
说实话,现在初创企业有多少能做到不作恶的,现在这个年代,不沾满献血是爬不高的,小米也是360也是,都不容易啊~
20150517
20150517
Oct 30, 2014
36
你们是怎么抓取的这数据
lazybios
lazybios
Oct 30, 2014
37
冰山一角~ 看看各公司的运营制度 你就知道你那点隐私多么微不足道了 -.-
iptux
iptux
Oct 30, 2014
38
@subpo
「通过干干净净的赚钱证明干干净净地赚钱是可能的;通过实现理想证明实现理想是可能的;通过改变世界证明改变世界是可能的;即使是在中国。」 ── 罗永浩(老罗)
LukeXuan
LukeXuan
Oct 30, 2014 via Android
39
火前留名
wzxjohn
wzxjohn
Oct 30, 2014 via iPhone
40
看来又要多屏蔽一个地址了。。。
wzxjohn
wzxjohn
Oct 30, 2014 via iPhone
41
@showlife 不出来解释一下?
R4rvZ6agNVWr56V0
R4rvZ6agNVWr56V0
Oct 30, 2014
42
这公司真过分了!
passluo
passluo
Oct 30, 2014 via Android
43
谢谢~
xming
xming
Oct 30, 2014
44
占个坑
sivacohan
sivacohan
Oct 30, 2014 via Android
45
是什么触发了你想要抓包?还是习惯性?
aveline
aveline
OP
Oct 30, 2014
46
@sivacohan 习惯性抓包 :-D
lj0014
lj0014
Oct 30, 2014
48
赞!加密了也难逃广大群众的法眼
iLiberty
iLiberty
Oct 30, 2014
49
我是不是要说
前留名呢...
现在的公司也是够了 职业操守去哪里了!!!
01552799
01552799
Oct 30, 2014
50
@eriale 挖的好!
faintcat
faintcat
Oct 31, 2014❤️1
51
一家的公司的道德值和公司老板的道德值关系密切……
Viztor
Viztor
Oct 31, 2014
52
习惯性抓包 (¬_¬)看来大家都需要这个习惯。。
tywtyw2002
tywtyw2002
Oct 31, 2014
53
没事就要抓抓包,知道api了,我们找几台服务器把它刷爆吧。
Anylei
Anylei
Oct 31, 2014
54
若事情为真,则是坑了集成该SDK的App的最终用户和开发者(的所在公司),作为**互联网数据服务提供者**这样“一网打尽”也算是牛逼到家了。
11
11
Oct 31, 2014
56
怎么解密的。。?
ashamp
ashamp
Oct 31, 2014
57
太过分了!
konakona
konakona
Oct 31, 2014
58
之前幫一個客戶使用聚合API開發了一些WEB端的東西,就感覺到聚合的技術真的不怎麽樣,bug一大堆,責任心也很弱。
就沒打算再繼續使用他們的產品,想不到行為這麽惡劣……
HunterPan
HunterPan
Oct 31, 2014
59
在使用他们的基站数据 还好
LINAICAI
LINAICAI
Oct 31, 2014
60
呵呵,看了api各种限制,还收钱,就没用了,没想到还做这么过分的事情,真的太不道德了,把安卓那套用到这里来。。。
对聚合真是没感
billsmt
billsmt
Oct 31, 2014
61
@eriale 很好奇是怎么破解算法的?大牛
Numbcoder
Numbcoder
Oct 31, 2014
62
iOS 如果不给通讯录权限,应该是无法获取把?
anyexxx
anyexxx
Oct 31, 2014
63
简直就是恶劣。。谁用谁被坑的节奏呀。。
fangzhzh
fangzhzh
Oct 31, 2014
64
精彩
fork3rt
fork3rt
Oct 31, 2014
65
- -我去过他们公司|||
feilaoda
feilaoda
Oct 31, 2014
66
这种直接http不加密,而且只传一个key进行标识APP的API,简直就是为开发者设定的地雷,随随便便就能把你的账单刷爆。

使用juhe的开发者小心了。
fangzhzh
fangzhzh
Oct 31, 2014
67
感觉最多一天,就会有人来洗地。
比如中国创业公司都这样,干吗盯着他们;比如别人都是肮脏到,他们也是不得以;比如,已经改过了,干吗还盯着不放,给国内创业公司一条生路,版主删了吧之类的, lol
ClownQiang
ClownQiang
Oct 31, 2014
68
火钳刘明
panlilu
panlilu
Oct 31, 2014
69
看了一下聚合下面的“他们也在用聚合”,我觉得我的隐私已经没了- -。
unnya
unnya
Oct 31, 2014❤️2
70

X


O
azuginnen
azuginnen
Oct 31, 2014
71
woyao
woyao
Oct 31, 2014
72
@aveline 求旧版SDK
momou
momou
Oct 31, 2014
74
国产软件在我的手机里都是没有通信录读写权限的。。。
leveraging
leveraging
Oct 31, 2014
75
@aveline 请问是怎么解密的
sanddudu
sanddudu
Oct 31, 2014 via iPhone
76
@vigoss 我记得 Charles 付费版有抓 https 的功能
aveline
aveline
OP
Oct 31, 2014
77
@sanddudu 虽然是付费版,不过 ... 他们接口是走 HTTP 的
aisk
aisk
Oct 31, 2014
78
我说为何看到楼主的头像如此眼熟
cloudcache
cloudcache
Oct 31, 2014
79
哈哈哈。。偷数据的贼!
sanddudu
sanddudu
Oct 31, 2014 via iPhone
80
@aveline 我次奥,这也太过分了吧
sanddudu
sanddudu
Oct 31, 2014 via iPhone
81
@aisk 凉宫春日
well
well
Oct 31, 2014
82
这年代,窃取数据似乎都成行规了,一点道德底线都没有。什么世道。
guangwong
guangwong
Oct 31, 2014
83
么么哒
tywtyw2002
tywtyw2002
Oct 31, 2014
84
@sanddudu https 用mitmproxy就好了
chasion
chasion
Oct 31, 2014
85
哈哈,见怪不怪了! 再说了,IOS系统 获取你联系人的时候,不是有弹窗提示么? 拒绝就好了!!!
jakwings
jakwings
Oct 31, 2014
86
下次我也检查支付宝控件看看。
lepture
lepture
Oct 31, 2014
87
@momou 所有的软件在我都不给通讯录权限。
momou
momou
Oct 31, 2014
88
@lepture 那你用谷歌的软件就没有意义了。。。
chens
chens
Oct 31, 2014
89
长叹一声。
NathanInMac
NathanInMac
Nov 1, 2014
90
tm的好失望
w10489871
w10489871
Nov 3, 2014
91
楼主有android老版的sdk吗~想看看~
lepture
lepture
Nov 3, 2014
92
@momou 我不用 Android
WilliamSang
WilliamSang
Aug 11, 2016
93
然而,已经估值 5 亿美金了
awhane
awhane
May 25, 2019
94
卧槽,当时太着急了,没全部测试就买了,结果数据特么太特么不稳定了,数据还不准。
大周六的,工单没人回、QQ 没人回、电话没人接、邮箱没人回
About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Privacy   ·   Solana   ·   1721 Online   Highest 6679   ·     Select Language
创意工作者们的社区
World is powered by solitude
VERSION: 3.9.8.5 · 132ms · UTC 23:48 · PVG 07:48 · LAX 15:48 · JFK 18:48
♥ Do have faith in what you're doing.