请不要使用聚合数据的 SDK

[aveline]

嗯 ... 虽然增加了它的曝光率还是说一下比较好 :-(

聚合数据（juhe.cn）的 SDK 启动时会要求读取通讯录的权限，然后加密发回到他们的服务器上。

通讯录数据内容并未做任何的脱敏处理，更加过分的是，特么的一个字段都没拉下啊 ...

姓名、昵称、地址、E-mail、手机号、组织等均被上传了

拿没在用的 iPhone 5 擦除，然后添加了虚假的通讯录条目。

重新跑了测试了下 SDK，发送的数据及解密后的原文见 Gist：

iOS 与 Android 分别于昨天晚上和今天早上已经更新，不再上传通讯录。

同时，老版本的 SDK 下载也都删掉了，不过我本地有备份啊。

以及做贼心虚的时候太紧张了吧，Changelog 里把 Android SDK 都打成 iOS SDK 了 :-D

[fdb713]

点个蜡烛

[sanddudu]

有抓包的截图吗

[eriale]

我来挖个坟： http://www.v2ex.com/t/115368?p=4

[66450146]

他们居然还加密了，简直良心（喂

[aveline]

抓包是加密的，我给个解密后的结构化数据的截图吧。

隐私数据已经打码。

[aveline]

@eriale 我知道这事儿，但是觉得产品看起来不错就试用了下。
:-) 果然不能太相信国内厂商的道德水平

[beddo]

我赞助工具，真人PK。
地址：苏州市园区 生物纳米园 C2栋101 新科兰德科技有限公司
联系电话：[phone]
传真：[phone]

[wangyongbo]

幸好，我们只使用了它的API。没有内嵌SDK

[unionx]

看热闹不怕事儿大

[mgc]

10月27日，由聚合数据主办的2014聚合开发者大会(JDDC)在北京国际会议中心隆重召开。座上宾有老牌密码明文存储先驱CSDN，中文第二搜索引擎360搜索，京东金融，微软云计算中国，蓝港在线，皮包公司sdk.cn等和一些资本合伙人，基金经理人等

[fengchang]

我去...幸好我也只用了它的API

另外说起来聚合的服务还是不错的，还有一家叫HaoService的服务整天各种出错，还不如聚合

[fengchang]

@mgc 老牌密码明文存储先驱CSDN 哈哈哈笑死我了

[arslion]

@eriale 我就猜到会有人翻出来这帖 ;)

[cvrock]

这种毫无道德底线的公司就该被告到死，相关人员全部追责。

[tboy]

挖出sdk里的api 直接用好了

[homever]

来看看这次是如何危机公关的

[herozzm]

他们的短息好贵，9分/条，抢人啊

[chilaoqi]

"老牌密码明文存储先驱CSDN"， 谢谢你让我笑了好久。

[icedx]

大新闻!

[miyuki]

万火留

[iyaozhen]

卧槽，我一直在用聚合的api，还推荐SDK给客户端开发的同学。

[66450146]

disPlayName 笑了。。。

[welsmann]

他们的API限制越来越严格，很多以前的额度都取消了，而且看架势是要强推SDK的。

[passluo]

那个。说个无关的， @aveline 你抓包用的啥工具呀？

[aveline]

@passluo Charles
http://www.charlesproxy.com/

[tmkook]

扯淡群帮顶

[homever]

@chilaoqi 😁

[dongbeta]

@aveline 我原以为只有360的SDK会这么做

[ccbikai]

官网首页写着“ [09-24] 聚合数据SDK发布了，所有数据一次搞定！！！”

[FrankFang128]

@fdb713 哟 碰到你了。

[usedname]

@dongbeta 360也就是带了个头

[dongbeta]

@usedname 我们接入360的SDK的时候，都不敢用自己的手机测试。

[silentyear]

真是无耻！知道这个网站，有时候想，这网站还有人用？看来真有人用哈！

[silentyear]

你怎么解密的？

[subpo]

说实话，现在初创企业有多少能做到不作恶的，现在这个年代，不沾满献血是爬不高的，小米也是360也是，都不容易啊～

[20150517]

你们是怎么抓取的这数据

[lazybios]

冰山一角~ 看看各公司的运营制度 你就知道你那点隐私多么微不足道了 -.-

[iptux]

@subpo
「通过干干净净的赚钱证明干干净净地赚钱是可能的；通过实现理想证明实现理想是可能的；通过改变世界证明改变世界是可能的；即使是在中国。」 ── 罗永浩（老罗）

[LukeXuan]

火前留名

[wzxjohn]

看来又要多屏蔽一个地址了。。。

[wzxjohn]

@showlife 不出来解释一下？

[R4rvZ6agNVWr56V0]

这公司真过分了！

[passluo]

谢谢~

[xming]

占个坑

[sivacohan]

是什么触发了你想要抓包？还是习惯性？

[aveline]

@sivacohan 习惯性抓包 :-D

[bitwing]

http://thehackernews.com/2014/10/sony-xperia-devices-secretly-sending.html
http://www.ithome.com.tw/news/90118

PS：今天热议就这个帖子还好

[lj0014]

赞！加密了也难逃广大群众的法眼

[iLiberty]

我是不是要说
前留名呢...
现在的公司也是够了 职业操守去哪里了！！！

[01552799]

@eriale 挖的好！

[faintcat]

一家的公司的道德值和公司老板的道德值关系密切……

[Viztor]

习惯性抓包 (¬_¬)看来大家都需要这个习惯。。

[tywtyw2002]

没事就要抓抓包，知道api了，我们找几台服务器把它刷爆吧。

[Anylei]

若事情为真，则是坑了集成该SDK的App的最终用户和开发者（的所在公司），作为**互联网数据服务提供者**这样“一网打尽”也算是牛逼到家了。

[aku]

已上solidot
http://www.solidot.org/story?sid=41684&threshold=0

[11]

怎么解密的。。？

[ashamp]

太过分了！

[konakona]

之前幫一個客戶使用聚合API開發了一些WEB端的東西，就感覺到聚合的技術真的不怎麽樣，bug一大堆，責任心也很弱。
就沒打算再繼續使用他們的產品，想不到行為這麽惡劣……

[HunterPan]

在使用他们的基站数据 还好

[LINAICAI]

呵呵，看了api各种限制，还收钱，就没用了，没想到还做这么过分的事情，真的太不道德了，把安卓那套用到这里来。。。
对聚合真是没感

[billsmt]

@eriale 很好奇是怎么破解算法的？大牛

[Numbcoder]

iOS 如果不给通讯录权限，应该是无法获取把？

[anyexxx]

简直就是恶劣。。谁用谁被坑的节奏呀。。

[fangzhzh]

精彩

[fork3rt]

- -我去过他们公司|||

[feilaoda]

这种直接http不加密，而且只传一个key进行标识APP的API，简直就是为开发者设定的地雷，随随便便就能把你的账单刷爆。

使用juhe的开发者小心了。

[fangzhzh]

感觉最多一天，就会有人来洗地。
比如中国创业公司都这样，干吗盯着他们；比如别人都是肮脏到，他们也是不得以；比如，已经改过了，干吗还盯着不放，给国内创业公司一条生路，版主删了吧之类的， lol

[ClownQiang]

火钳刘明

[panlilu]

看了一下聚合下面的“他们也在用聚合”，我觉得我的隐私已经没了- -。

[unnya]

X


O

[azuginnen]

[woyao]

@aveline 求旧版SDK

[aveline]

@woyao

https://mega.co.nz/#F!NdMXWAKJ!LP8dpbbcFAj6p_H-bOEpPQ

附上 iOS SDK 的 diff

https://gist.github.com/ym/6ba5eb6b23aade5772c4

[momou]

国产软件在我的手机里都是没有通信录读写权限的。。。

[leveraging]

@aveline 请问是怎么解密的

[sanddudu]

@vigoss 我记得 Charles 付费版有抓 https 的功能

[aveline]

@sanddudu 虽然是付费版，不过 ... 他们接口是走 HTTP 的

[aisk]

我说为何看到楼主的头像如此眼熟

[cloudcache]

哈哈哈。。偷数据的贼！

[sanddudu]

@aveline 我次奥，这也太过分了吧

[sanddudu]

@aisk 凉宫春日

[well]

这年代，窃取数据似乎都成行规了，一点道德底线都没有。什么世道。

[guangwong]

么么哒

[tywtyw2002]

@sanddudu https 用mitmproxy就好了

[chasion]

哈哈，见怪不怪了！ 再说了，IOS系统 获取你联系人的时候，不是有弹窗提示么？ 拒绝就好了！！！

[jakwings]

下次我也检查支付宝控件看看。

[lepture]

@momou 所有的软件在我都不给通讯录权限。

[momou]

@lepture 那你用谷歌的软件就没有意义了。。。

[chens]

长叹一声。

[NathanInMac]

tm的好失望

[w10489871]

楼主有android老版的sdk吗~想看看~

[lepture]

@momou 我不用 Android

[WilliamSang]

然而，已经估值 5 亿美金了

[awhane]

卧槽，当时太着急了，没全部测试就买了，结果数据特么太特么不稳定了，数据还不准。
大周六的，工单没人回、QQ 没人回、电话没人接、邮箱没人回