PC 版 QQ 被曝自動讀取瀏覽器記錄，Edge，360 、Chrome皆中招，官方回應(yīng)：系判斷惡意登錄，并非竊取隱私

本文作者：劉琳

2021-01-18 18:26

導(dǎo)語：萬萬沒想到，你是這樣的 QQ 。

我在瀏覽器上看什么，QQ 都知道？

這又是什么泄露隱私的新方式？

近日，一篇名為《QQ 正在嘗試讀取你的瀏覽記錄》的文章引起了網(wǎng)友熱議，一度沖上了知乎熱榜第二。

怎么回事呢？

原來有網(wǎng)友發(fā)現(xiàn) QQ 正在嘗試讀取你的所有瀏覽記錄。

看到這一消息，網(wǎng)友們沸騰了：

PC 版 QQ 被曝自動讀取瀏覽器記錄，Edge，360 、Chrome皆中招，官方回應(yīng)：系判斷惡意登錄，并非竊取隱私

啊這......我在瀏覽器上的小秘密都保不住了？？

我就想知道 QQ 收集這個干什么呢？

甚至有網(wǎng)友還翻起了 10 年的舊賬，調(diào)侃道：

原來 360 說 QQ 流氓是對的。

QQ 正在讀取你的瀏覽器記錄

那么，網(wǎng)友是如何發(fā)現(xiàn) QQ 這一行為的呢？

這還要從某技術(shù)大佬的一篇帖子說起。

1 月 15 日，在 V2EX 互聯(lián)網(wǎng)論壇上，有網(wǎng)友貼出了這樣一個帖子：

PC 版 QQ 被曝自動讀取瀏覽器記錄，Edge，360 、Chrome皆中招，官方回應(yīng)：系判斷惡意登錄，并非竊取隱私

"前些天用 QQ，為了防止一些流氓行為，特地去的 MS Store 里面安裝的 QQ 桌面版。幸好之前用火絨的自定義攔截功能，設(shè)置了一些重要或敏感數(shù)據(jù)目錄的保護。

隨后這位網(wǎng)友貼出了一張疑似 QQ 收集用戶瀏覽器記錄的攔截日志截圖：

PC 版 QQ 被曝自動讀取瀏覽器記錄，Edge，360 、Chrome皆中招，官方回應(yīng)：系判斷惡意登錄，并非竊取隱私

從日志截圖上看，QQ 正在嘗試訪問微軟的 Edge 瀏覽器的用戶目錄里面的 History 目錄，這個目錄存放著用戶使用 Edge 瀏覽器進行瀏覽過的網(wǎng)頁記錄信息。

此外，該網(wǎng)友也指出，QQ 在登錄 10 分鐘后，就會開始掃描 Appdate\Local 下的所有文件夾。并對其中 User Data\Default\History文件進一步的掃描，而該文件就是 Chrome 瀏覽器默認歷史記錄存放位置。

并且，微軟 edge，360 瀏覽器，獵豹瀏覽器，Chrome 瀏覽器無一幸免。

也就是說，當你登陸 10 分鐘之后，你的瀏覽器記錄就都被掃描讀取了。

PC 版 QQ 被曝自動讀取瀏覽器記錄，Edge，360 、Chrome皆中招，官方回應(yīng)：系判斷惡意登錄，并非竊取隱私

不過，也有網(wǎng)友@qwqdanchun 質(zhì)疑這是不是個例呢？

于是他用虛擬機裝上 QQ 和 Chrome 驗證了一下。

10 分鐘后，果然看到了讀取 AppData\Local\Google\Chrome\User Data\Default\History 等目錄的操作。

PC 版 QQ 被曝自動讀取瀏覽器記錄，Edge，360 、Chrome皆中招，官方回應(yīng)：系判斷惡意登錄，并非竊取隱私

那么，QQ 讀取到的瀏覽器歷史記錄又拿來干啥了呢？

這位網(wǎng)友又進行了進一步的分析，掛上 x32dbg，動態(tài)調(diào)試找到位置，然后去 IDA 里直接反編譯出來，就得到了如下結(jié)果：

PC 版 QQ 被曝自動讀取瀏覽器記錄，Edge，360 、Chrome皆中招，官方回應(yīng)：系判斷惡意登錄，并非竊取隱私

可以確認的是 QQ 確實會讀取瀏覽器的歷史記錄，但讀取鏈接用來干什么，目前還不清楚。

此外，也有網(wǎng)友 @mengyx 爆料稱，這樣的操作，QQ 和 TIM 起碼干了有一年半的時間了。

PC 版 QQ 被曝自動讀取瀏覽器記錄，Edge，360 、Chrome皆中招，官方回應(yīng)：系判斷惡意登錄，并非竊取隱私

今日，網(wǎng)友 @qwqdanchun 在知乎上再次回應(yīng)了此事，他表示：

PC 版 QQ 被曝自動讀取瀏覽器記錄，Edge，360 、Chrome皆中招，官方回應(yīng)：系判斷惡意登錄，并非竊取隱私

希望大家明確兩點，首先只是陳述事實，這并不能證明騰訊在竊取用戶隱私，而這樣的操作也僅僅只存在于電腦版 QQ 和 TIM，微信和其他版本的QQ，TIM，并沒有找到此類操作。

其次，被讀取的只是瀏覽器歷史記錄，密碼書簽和 cookies 等是安全的。而瀏覽記錄也不是直接上傳。

騰訊回應(yīng)：用以判斷用戶登錄安全風(fēng)險

就此問題，雷鋒網(wǎng)也詢問了騰訊方面，騰訊對此回應(yīng)稱：

PC 版 QQ 被曝自動讀取瀏覽器記錄，Edge，360 、Chrome皆中招，官方回應(yīng)：系判斷惡意登錄，并非竊取隱私

該操作是一個對抗惡意登錄的技術(shù)解決方案，因系統(tǒng)識別有不少偽造的 QQ 客戶端會惡意訪問多個網(wǎng)站作為前期輔助工作，因此在 PC QQ 客戶端中加入了檢測惡意的異常的訪問邏輯。

同時，騰訊也強調(diào)讀取的數(shù)據(jù)不會上傳至云端，不會儲存，也不會用于其他用途。

目前，已更換了檢測惡意和異常請求的技術(shù)邏輯去解決上述安全風(fēng)險問題，并發(fā)布全新的 PC QQ 版本。

附騰訊知乎回應(yīng)全文：

近日，我們收到外部反饋稱PC QQ掃描讀取瀏覽器歷史記錄。QQ安全團隊高度重視并展開調(diào)查，發(fā)現(xiàn)PC QQ存在讀取瀏覽器歷史用以判斷用戶登錄安全風(fēng)險的情況，讀取的數(shù)據(jù)用于在PC QQ的本地客戶端中判斷是否惡意登錄。所有相關(guān)數(shù)據(jù)不會上傳至云端，不會儲存，也不會用于任何其他用途。

具體情況為，該操作為歷史上線的一個對抗惡意登錄的技術(shù)解決方案：因系統(tǒng)識別有不少偽造的QQ客戶端會惡意訪問多個網(wǎng)站作為前期輔助工作，因此在PC QQ客戶端中加入了檢測惡意和異常的訪問邏輯，以此作為輔助手段去判斷惡意客戶端。

對本次事件，我們深表歉意，內(nèi)部正梳理歷史問題并強化用戶數(shù)據(jù)訪問規(guī)范。目前，我們已經(jīng)更換了檢測惡意和異常請求的技術(shù)邏輯去解決上述安全風(fēng)險問題，并發(fā)布全新的PC QQ版本。為減少不便，所有受影響的PC QQ歷史版本將在今天開始進行熱更新和推送升級包。同時，手機端QQ不存在上述操作，不受影響。

最后，感謝各位技術(shù)愛好者的監(jiān)督，我們也歡迎大家向騰訊安全應(yīng)急響應(yīng)中心（騰訊安全應(yīng)急響應(yīng)中心）提交報告。

雷鋒網(wǎng)雷鋒網(wǎng)雷鋒網(wǎng)

參考資料：

【1】https://www.zhihu.com/question/439768601

【2】https://www.zhihu.com/question/439768601/answer/1683913941

【3】https://www.v2ex.com/t/745030

【4】https://www.toutiao.com/a6918691679809618445/

【5】https://bbs.pediy.com/thread-265373.htm

【6】https://bbs.pediy.com/thread-265359.htm

【7】https://ti.qq.com/agreement/qqface.html?appname=mqq_2019

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。

1人收藏