早上到公司,ZH说他昨天搜了一下有哪些开源的建站工具,今天早上就有一个建站的QQ加他好友,随口说了句是不是你乱填QQ号导致的,然后就没管了。没想到,下午我去google婚纱如何打包,点开了一个婚纱摄影网站里的一篇文章,看到文章没什么用就顺手把浏览器标签页关了。在我关掉的那一瞬间,奇迹发生了,这家婚纱店的企业QQ申请加我为好友了,瞬间一身冷汗。然后就把这个问题抛给了大企鹅的PM贝贝同学,让他内部反映问题去。
再然后,ZH和我就开始了对这个网站的扒皮工作,最后结果就是:卧槽,黑科技啊!

这个黑科技干的事情是:网站拿到访问者的QQ号码,然后该网站的营销QQ去主动加用户为好友,从而增加转化率。
这个事情里设计几个相关方:
1、普通网民,访问网站的人,以下简称访客。
2、被访网站,以下简称网站。
3、技术提供者,普通的网站去开发黑科技拿QQ号代价有点大,所以就有了一个技术提供者,他开发完,让普通网站去嵌入他们的代码就行。这个技术提供者在自己的官网里写的自己的核心技术就是拿访客QQ号,看来是靠这个吃饭的,我们今天要扒的就是他们是怎么干的。以下简称技术提供方。
4、腾讯。

整体流程是这样的:
1、访客之前应该登录了腾讯的Web产品,例如QQ邮箱之类,或者至少登录过腾讯的Web产品。我们没有测试清空QQ域cookie的情况,理论上应该拿不到QQ号了。
2、访客访问网站,网站加载技术提供方提供的js代码。
3、该js代码通过某种手段拿到用户的QQ号。
4、把QQ号传给技术提供方的服务器,技术提供方再通过其他方式通知网站的运营人员(很大可能是自动的),运营人员再来添加访客的QQ好友。
5、拿到QQ号之后,把QQ号放到Cookie中,下次访客再来时就不会再拿一遍了。

这几步里面,第三步是核心,下面详细分析到底怎么拿到QQ号,分两种情况,一种是用户处在腾讯产品的登录态,另外一种是曾经登录过腾讯的产品。
第一种:
技术提供者的JS首先向腾讯的一些域名发起请求,其中有一个重点请求,这个请求是腾讯课堂的某个课程页,在这个页面html里有访客的QQ号,解析出QQ号上报就行。时间有限,没有找到发起请求和解析QQ号的代码,个人猜测是在flash里做的。

1

11

第二种:
大致相同,但是这种情况下用户并没有登录,所以第一种情况里的html中不会有QQ号,但是腾讯有一个登录页面,这个页面是会保存用户的QQ账号的,所以拿到这个页面,解析一下也能拿到QQ号。

2

 

根本上说,这个问题是腾讯某些产品的漏洞造成的,所以不知道我这个问题报过去,大企鹅又有多少程序员过不好年,哈哈哈哈。如果大企鹅修复了这个问题,那个拥有“核心技术”的技术提供方估计就更加过不好年了,木哈哈哈哈。
原本就不是正当手段,而且还这么骚扰用户,就别干这事了。

理论上说腾讯只要判断一下referer就能防住这事,但是技术相关方拿的都是基础页内容,基础页的referer好像不太好做限制,加黑名单还行,做白名单估计不行。还有一个方法,就是页面自己判断自己是不是在一个正常的浏览器里,以及自己是不是在iframe里,如果不在正常浏览器里或者在iframe里就拒绝加载任何东西。不过也不是万全之策,因为这个要js来判断,js都加载了,基础页早加载了,在第一种情况下貌似防不住。再有就是,基础页的html里不要出现访客的qq号,这样他就没得拿了,不过这么改起来,企鹅的码农兄弟真的就不用过年了。

 

One thought on ““黑科技”获取访客QQ号剖析

Leave a reply

required

<a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <strike> <strong>