抖音·某无关痛痒的信息泄露接口

 

以前的老稿子，发现是私密状态。 重新发布一下，做个记录。

 

---------------------当初的正文-------------------------------------------------------------------------------------------------------------------

版本：3.7.0（测试时最新）

 

起因：在刷抖音的时候，发现某用户的个人页面的个人简介在一秒内变了一次。因为先前并没有关注过该用户，所以大概率不会缓存过该用户的信息。当然也有可能是该用户在同一时刻修改了简介，然后被我撞上了，但貌似概率也比较低。抱着试一试和好奇的心态，就走上了对抖音APP的测试之路。

 

先简单直接的让手机连上电脑的无线热点，然后wiresahrk抓包分析看看。并没有发现什么有意思的东西，没有明显的信息传递过程。再仔细的排查,发现是用了https协议，很多数据被加密了。

 

 

没关系，这难不倒我们，对安卓的https抓包已经有许多的方法，我们用fiddler来进行。

参考：https://blog.csdn.net/u011296485/article/details/81707733

 

 

配置好以后尝试抓一下

 

 

期间，排除那些视频、图片等链接，还抓到了好多api接口，地址为api.amemv.com，返回信息是json格式。

可以在浏览器中用http直接访问。其实很多手机应用的后端都采取这种类似网站访问的交互方式B/C架构来作为服务器的api接口。

 

在对抓取的链接测试时，发现以下接口，甚至不需要cookie等请求头中的header的值来验证，直接访问：

http://api.amemv.com/aweme/v1/user/?user_id=57358846206&retry_type=no_retry&iid=54802957210&device_id=39301183129&ac=wifi&channel=update&aid=1128&app_name=aweme&version_code=370&version_name=3.7.0&device_platform=android&ssmix=a&device_type=NX569J&device_brand=nubia&language=zh&os_api=23&os_version=6.0.1&openudid=84e6bbce540c9a48&manifest_version_code=370&resolution=1080*1920&dpi=480&update_version_code=3702&_rticket=1545186513530&ts=1545186512&js_sdk_version=1.5.4&as=a195ba7170bd6c2c096755&cp=aad8cc56039116c1e1OaWe&mas=01666bdb16b65368aa7a048cce27dae679acacec6c9c0cc64cc66

即可得到json形式的用户信息。

 

这个链接里还有很多参数，尝试去除、简化。结果很简洁：

https://api.amemv.com/aweme/v1/user/?user_id=57358846206

 

 

但可惜这里面只有一些无关痛痒的隐私信息，例如：

 

 

生日信息：

 

 

所在学校：

 

 

 

个人信息修改的时间：

是时间戳格式，需要转换一下

 

 

 

 

其中比较重要的也就只有手机字段了，本来以为返回的json信息中:is_phone_bind=false,bind_phone=”#”

是因为目标用户没绑定才没显示。

结果测试后发现是需要验证是否登录，只有验证是自己的账户，才会显示部分手机号，否则显示的都是is_phone_bind=false,bind_phone=”#”。

 

 

 

 

上面的api信息太少了。继续搜寻，又发现一个“关注”页面的信息：

https://aweme.snssdk.com/aweme/v1/follow/feed/?max_cursor=0&min_cursor=0&count=20&pull_type=0&feed_style=1&enter_time=1545186504239&fetch_recommend=1&impression_ids=6636506414476954888&last_feed_ids=&is_up_phone=1&is_recommend=0&retry_type=no_retry&iid=54802957210&device_id=39301183129&ac=wifi&channel=update&aid=1128&app_name=aweme&version_code=370&version_name=3.7.0&device_platform=android&ssmix=a&device_type=NJ&device_brand=na&language=zh&os_api=23&os_version=6.0.1&openudid=84e6bbce540c9a48&manifest_version_code=370&resolution=1080*1920&dpi=480&update_version_code=3702&_rticket=1545186504249&ts=1545186504&js_sdk_version=1.5.4&as=a1455aa1487c0c9c692533&cp=a7c2cb558e9a1bc6e1_yMc&mas=01265ef36176e8cd67ec8fd023413c6cbaccccac4c9c6cc69cc60c

 

这个地址访问的时候必须带上相应的cookie才能返回数据：

 

排除那些原有的公开信息，发现poi_info字段有比较详细的地址，测试后发现这是视频中标明的地址定位，也并不是隐私信息。

 

和之前一样，只有一些无聊的信息：

 

用户的创建时间：

 

 

视频的发布时间：

 

 

 

一天到此为止了，并没有特别重大的发现，还算有点用的只是能获得对方隐藏的学校和生日罢了。就作为一个学习的记录吧，只是感觉它的代码功能及返回信息很冗余。有很多可能的漏洞点被“淹没”在了其中。大佬们如果有什么思路想法，欢迎评论指点。