网友报告QQ扫描并上传用户的浏览器历史

本文转载自 IT之家,作者 骑士

近期,不少网友报告称,腾讯 QQ 以及 QQ 办公版 TIM 被发现会扫描用户的 Chrome 浏览器历史,搜索购物记录选择性上传。

在 V2EX 上,有网友 mengyx 反映发现聊天软件 QQ 尝试读取用户浏览记录时,被某安全软件拦截,继而被该网友发现问题。帖子指出,QQ 在登录 10 分钟之后开始扫描 Appdata\Local\下的所有文件夹,对其中 User Data\Default\History 进行进一步的扫描。

据悉,User Data\Default\History 是基于 Chrome/Chromium 浏览器默认历史纪录存放位置,Firefox 浏览历史存放位置不同,因此目前看来不受影响。但目前基于 Chrome/Chromium 浏览器占据九成以上的份额。

随着热度的提升,另一位网友 qwqdanchun 本着探索精神,去简单抓取了一下 QQ 文件访问行为,以及简单的逆向分析。发布了《关于QQ读取Chrome历史记录的澄清》,得出结论,腾讯 QQ 并不是针对 Chrome,而是会遍历读取所有浏览器历史记录,确认会中招的浏览器包括但不限于如 Chrome、Chromium 等浏览器。

《关于QQ读取Chrome历史记录的澄清》原文如下:

今天看到群里有同学发了一篇v2ex上的帖子,说QQ会读取Chrome的历史记录,被火绒自定义规则拦截了,本来我是不信的,但是他说他复现了,而且是QQ登录10分钟后才会去访问。

这我就想去验证下了,开虚拟机装QQ、Chrome,然后打开Process Monitor开始等。规则简单的过滤下。


果然看到了读取AppData\Local\Google\Chrome\User Data\Default\History等目录的操作。


而且时间也是恰到好处的十分钟。


这是实锤了QQ和Chrome过不去啊,这我可不信,把规则去掉,重新翻了一下才发现果然是冤枉QQ了啊。


受害人之多令人震惊,仔细一看,这玩意是遍历了Appdata\Local\下的所有文件夹,然后加上User Data\Default\History去读啊。User Data\Default\History是谷歌系浏览器(火狐等浏览器不熟,不清楚目录如何)默认的历史纪录存放位置,Chrome中枪也就很正常了。

然后就该研究研究QQ为啥要这么干了,读取到的浏览器历史记录又拿来干啥了呢?

挂上x32dbg,动态调试找到位置。


然后去IDA里直接反编译出来,如下(位置在AppUtil.dll中 .text:510EFB98 附近)


这一段的逻辑还是很好看懂的,先读取各种 User Data\Default\History 文件,读到了就复制到Temp目录下的temphis.db。回去看下Procmom,果然没错。


再之后的操作就简单了,SQLite读取数据库,然后“select url from urls”,这是在干什么大家都懂哈。后面就不接着讲了,有兴趣的可以自己接着看。

结论,QQ并不是特意读取Chrome的历史记录的,而是会试图读取电脑里所有谷歌系浏览器的历史记录并提取链接,确认会中招的浏览器包括但不限于Chrome、Chromium、360极速、360安全、猎豹、2345等浏览器。

晚上来编辑一下,刚才去试了下TIM,果然经典重现,而且比QQ还离谱,不多说直接上图。

图片描述

 

已标记关键词 清除标记
相关推荐
©️2020 CSDN 皮肤主题: 深蓝海洋 设计师:CSDN官方博客 返回首页