手机什么应用都不开，在电脑抓包看下你会不会大吃一惊

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

› Android Studio

这是一个创建于 2591 天前的主题，其中的信息可能已经有所发展或是发生改变。

今天看到一加上传用户信息那个，恰好我的手机是一加 3 （公测版氢 Rom，未 root，没有安装什么管理类的软件），我想看看手机是不是也有乱七八糟的信息被上传。
于是我在电脑用 Burp，设置允许局域网访问，然后手机 WIFI 设置代理连到电脑的 Burp，把手机所有应用关掉，接着重启手机。
重启后啥也没动，挂了几分钟，Burp 就收到了请求，这是其中的一部分。
什么有道词典、alipay、大众点评、美团、电话邦、N 多 QQ 域名，我真是*了狗了，不看不知道，看了就觉得恶心。

有的是使用 IP 来访问的，不知道是哪个厂

有的则是 HTTP 明文请求

有的良心些 HTTPS

有的是加密成二进制的看不出是啥

看得到的部分，除了场景的分辨率、型号、系统版本、还有imei、有道词典把我保存的 WIFI 热点名称都 POST 到了服务器。

burp

手机

词典

电话邦

51 条回复 • 2019-10-11 00:42:50 +08:00

Hzzone

2017-10-11 20:48:04 +08:00 via iPhone

换 iOS

wangxn

2017-10-11 20:51:25 +08:00 via Android

看来苹果收紧控制不是坏事。

chen2016

2017-10-11 20:54:45 +08:00 via Android

虽然苹果是挺好用的，但是楼上有点因噎废食的感觉

janus77

2017-10-11 20:55:15 +08:00

真巧，你也在网上冲浪啊

WuwuGin

2017-10-11 20:57:42 +08:00 via Android

别人都抓我不抓不是亏了。😌

panda1001

2017-10-11 20:59:06 +08:00 via Android

findle 还是抓 http，看 tcp 私有协议上传的可能更多

azh7138m

2017-10-11 20:59:45 +08:00

emui 也会上传设备信息，这是一个比烂的世界：（

之前做小程序电脑开代理，就发现这些问题了

misaka19000

2017-10-11 21:04:19 +08:00

楼主火星了

xenme

2017-10-11 21:05:48 +08:00 via iPhone

所有的厂商都在收集各种信息。
看到 qq 比较多的不一定是腾讯自己家的，还有其他地方用的腾讯的跟踪分析 sdk 的第三方厂商。

iOS 也一样

bearqq

2017-10-11 21:10:21 +08:00 via Android

你需要绿色守护
抓包可以用 packet capture
很多国内服务会上报私密信息
上次抓包让我扔掉了即刻

AsherG

2017-10-11 21:27:24 +08:00

@janus77 #4 给你送图来了

https://i.loli.net/2017/10/11/59de1c25e2444.jpg

coolcoffee

2017-10-11 21:30:11 +08:00

Android 好像可以不走系统默认代理吧

Nitroethane

2017-10-11 21:32:09 +08:00 via Android

手机的 phone unique id，网卡的 MAC 地址，位置信息，WiFi 相关的信息，这些信息基本上每个 APP 都会收集

wdlth

2017-10-11 21:34:19 +08:00

这就是传说中的的大数据、云算计……

2017-10-11 21:43:02 +08:00

Android 的 ROM，除了未安装 gapps 的 LineageOS 之外，其它的，包括 Google 原厂镜像，都是 24 小时不停地上传隐私信息。LineageOS 如果装了国内任何 app，也会如此。。。

dearsting

2017-10-11 21:45:02 +08:00

所以没事还是少下 APP 吧，刷个港版系统用 Googleplay 会不会好一点？

fakeagent

2017-10-11 22:25:19 +08:00

卸载这些 app 还会有残留吗？

mozutaba

2017-10-11 22:46:33 +08:00 via Android

怎么都会有的，除非 app 不用三方 sdk

sobigfish

2017-10-11 23:08:27 +08:00

加一波上传服务器进 hosts （但有些不用额外域名的误伤大不好破）
有人维护个么

fantasy467047

2017-10-12 09:13:28 +08:00 via Android

@pq Google 给你提供了选择权，你可以选择不上传。

jimliang

2017-10-12 10:14:40 +08:00

能关自启动就不关自启动…… miui9 路过……

jimliang

2017-10-12 10:15:19 +08:00

打错，把『不』去掉

JamesR

2017-10-12 11:05:48 +08:00

@sobigfish 直接禁止这些应用获取隐私数据即可。

mengyaoss77

2017-10-12 11:17:28 +08:00

@AsherG #11 借楼问下，这种图片怎么添加到微信的自定义表情里。。手动添加图片会变小。。

zhishidahao

2017-10-12 11:58:32 +08:00

@bearqq 即刻怎么了

EricCartman

2017-10-12 12:19:10 +08:00 via Android

非国行，大厂手机才可信

AsherG

2017-10-12 12:23:23 +08:00

@mengyaoss77 #23 我也是手动添加，变小的。。。

bearqq

2017-10-12 12:55:56 +08:00

@zhishidahao #25 一样嘛，手机型号，系统，存储的 wifi，连接的 wifi，附近的 wifi，蜂窝网信息，cpu 信息，屏幕分辨率，酷安字样（即刻下载渠道）
发送地址 ax1.xdrig.com ，拥有者北京腾云天下科技有限公司
“ TalkingData （北京腾云天下科技有限公司）成立于 2011 年 9 月，是中国最大的独立第三方移动数据服务平台。2013 年完成千万美元 A 轮融资（北极光领投），2014 年完成 ...”
多插一嘴，这个地址和即刻都架设在亚马逊中国 north-1 网段
抓包时间 17 年 3 月 24

zjp

2017-10-12 13:48:53 +08:00 via Android

安卓上用 packet capture 可以看到是哪个应用的请求，也支持安装证书抓 Https

wenzhen

2017-10-12 13:49:53 +08:00

@jimliang 摁住
已入坑 mix2

yksoft1

2017-10-12 14:37:18 +08:00

这不就是现在天天讲、月月讲的大数据嘛。

winglight2016

2017-10-12 14:46:08 +08:00

我可以负责任的说，大多数国产手机都是会在后台偷跑 http 请求的，之前在公司做 android APP 时，偶然用 any proxy 做数据转换，就发现了所有的测试机都会自动访问网络，大部分 APP 会在没有用户交互的情况下访问网络，而且是一看就与业务无关的，最多的请求就是带 baidu 字样的 url，似乎是个站长工具之类的网站