在微信内编辑图片会上传并审查原图

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 394 天前的主题，其中的信息可能已经有所发展或是发生改变。

在 iOS 微信中编辑（打码）了一张图片并发送，编辑后的图片如下：

几秒后原图中的地址收到了 120.233.19.186 （广东移动）的访问，URL 是图中部分可见文字的拼接

{"time":1700801419.550,"host":"XXX:443","req":"GET /YYY/snapshotsMethodPOSTHeadersAuthorizati...Bearer","req_size":980,"ip":"120.233.19.186","ua":"Mozilla/5.0 (Linux; Android 13; M2007J1SC Build/TKQ1.221114.001; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/107.0.5304.141 Mobile Safari/537.36 XWEB/5127 MMWEBSDK/20230405 MMWEBID/1151 MicroMessenger/8.0.35.2360(0x2800235D) WeChat/arm64 Weixin NetType/WIFI Language/zh_CN ABI/arm64 qcloudcdn-xinan Request-Source=3 Request-Channel=99","status":404,"resp_time":0.000,"resp_size":1482,"protocol":"HTTP/1.1","tls":"TLSv1.3"}

第 1 条附言 · 2023-11-28 16:41:29 +08:00

DNSlog 复现成功，但似乎没有 log4j 漏洞

test

dnslog

43.136.129.249, 220.196.152.109, 101.35.153.118, 81.71.98.69, 183.36.24.8, 106.52.173.110, 106.52.173.28, 106.52.173.28, 81.71.98.134

第 2 条附言 · 2023-11-28 20:17:21 +08:00

requestrepo

120.233.19.186

arm64

打码

原图

138 条回复 • 2023-12-24 01:02:25 +08:00

1 2

❮

❯

101

PhoneGor

2023-11-29 09:08:13 +08:00

如果在其他软件编辑好原图，再在微信发，还能访问到原图吗？

102

yurichange

2023-11-29 09:13:36 +08:00

所以可以推断，所有的 app 都会有类似的操作。

103

Liang

2023-11-29 09:15:04 +08:00

细思极恐。

更恐的是 LZ 过两天写检讨😂

104

K8dcnPEZ6V8b8Z6

2023-11-29 09:16:09 +08:00

自有权限功能以来，就不敢给任何软件全部获取，宁可自己麻烦一些

105

Masoud2023

2023-11-29 09:27:07 +08:00

没看懂腾讯想干什么

106

me1onsoda

2023-11-29 09:29:07 +08:00

@greatbody #35 我怎么记得之前发生过？和二维码有关

107

me1onsoda

2023-11-29 09:34:54 +08:00

@mikewang #82 只是不能主动删。之前上海条子系统案件数据被脱库，相关讨论直接 404

108

XuHuan1025

2023-11-29 09:37:40 +08:00

@jjxtrotter #12 看不到广告,有时候也不好,斗地主没广告领不了豆子

109

psklf

2023-11-29 10:02:18 +08:00

@Persimmon08 #68 big brother 让他这样干的

110

kevenli

2023-11-29 10:24:14 +08:00

@est 有调证处，但这个说法是假的：司法调证能获取的大致是登陆 IP 、交易记录等，无法获取聊天记录；此外这个 IP 真的是 tx 机房 IP ，不能说更多了哈哈哈哈哈

111

nauhc

2023-11-29 11:27:31 +08:00

聊天记录取证时，只能离线，因为从你正在使用的手机中找到的聊天记录，能最大限定的确定是你本人所发送的。但服务器的聊天记录却不一定，因为我完全可以说那些信息不是我发送的，被盗号了也不一定。在现实中，聊天记录虽然可以作为法律依据，但核实聊天的主体往往非常困难。就只能说这么多了，所以，很多时候我也不太能够理解那些保留几百个 G 微信聊天记录的人是啥心理。

112

yph007595

2023-11-29 13:14:10 +08:00

@fluffyfoxxo #9 你有没有用粘贴板之类的 app ，我装了个 paste ，发现复制的 url ，它会自动去 get ，也就是预览功能。可以关掉

113

molika

2023-11-29 13:25:24 +08:00 via iPhone

@ishamo 是的我之前发过一个帖子 https://www.v2ex.com/t/865618 就是说这个事情

114

work220602

2023-11-29 13:29:34 +08:00

国产软件很多都这个鸟样

115

shijingshijing

2023-11-29 13:49:14 +08:00

@nauhc 很多公司拿微信来办公的，比如商务上的，有的甲方用微信，有什么事情就是一长段语音丢给你，你用不用？再比如有的老板喜欢不管什么问题都拉一个微信群里谈，以后出了问题还得翻微信记录来撕逼，你敢删？还有很多政务方面的，只提供小程序，你用不用？

116

est

2023-11-29 13:52:11 +08:00

@kevenli 骗哥可以，别把自己骗了。群聊发 XX 消息马上接片警电话，这监控难道不是第三方拿的数据？

或许不是南山，但是总有那么一个地方把数据拷出来对吧。

117

MengiNo

2023-11-29 14:16:43 +08:00

@fluffyfoxxo WeChat 哪怕发到群里也不会消耗次数，区别对待了。

118

kevenli

2023-11-29 14:46:54 +08:00

@est 消息审查跟消息存储是两码事呀我没说他不审查消息哈哈哈哈哈哈

119

november

2023-11-29 14:55:42 +08:00

@mikewang #82 删不删只是站长一句话的事。

120

Pig930

2023-11-29 15:06:57 +08:00

快进到楼主 append 一条“本人因发布不实信息，已在 xx 批评教育下改正，对于给大家以及 xx 公司带来的负面影响深表歉意，本人承诺 xxxxxxxx ，永不再犯”

121

mikewang

2023-11-29 15:21:38 +08:00 via iPhone

@november #119 其实我的意思是本人不能删。
考虑到不能删帖是站长的确定，我想站长也不会因为这种事而手动删除，最多进 flamewar~

122

mikewang

2023-11-29 15:22:46 +08:00 via iPhone

@mikewang #121 确定->决定

123

ho121

2023-11-29 15:27:37 +08:00 via Android

发一个 gzip 炸弹会怎么样

124

CFM880

2023-11-29 15:47:22 +08:00

@ho121 破坏计算机信息系统罪，论斩

125

JeffLei

2023-11-29 15:50:30 +08:00

终于明白为什么我把图片放在腾讯云上，通过 web 服务暴露，把链接通过微信发出去后，过了不到半个小时，服务器被封了！

126

qian0nian

2023-11-29 15:52:29 +08:00

注意网络安全

127

haierspi

2023-11-29 17:34:08 +08:00

哈哈哈..

128

Yzh361

2023-11-29 17:48:51 +08:00 via Android

多亏从来不用

129

cloudsw

2023-11-29 17:50:24 +08:00

@Persimmon08 #68 原则上违法 doge

130

bzdemo

2023-11-29 18:26:06 +08:00

@Lin0936 不懂就问，这是什么意思？

131

liuwan1996

2023-11-30 01:12:00 +08:00 via Android

我还以为微信和 QQ 会扫描用户聊天信息是人尽皆知的事呢。。。。是每一条都会扫描哦。。。

132

admingyu

2023-11-30 10:46:54 +08:00

周二测试了，会过一天半访问图片上的链接

133

ZeroDu

2023-11-30 13:38:39 +08:00

要是拿发出去的图片，那还好；这直接拿原图审查就有点恶心了

134

5YK76YC8

2023-11-30 16:27:34 +08:00 via Android

巴铁私发 4 秒带 2 帧露点的视频，我这就看到封面，然后都是黑屏

135

lefer

2023-12-01 17:13:00 +08:00

我只能说。。非常巧妙。。

136

JamesHopbourn

2023-12-02 12:46:19 +08:00

过了两天来访问了

2023-12-02T12:02:30.320+08:00 IP 查询结果: {
2023-12-02T12:02:30.320+08:00 "status": "success",
2023-12-02T12:02:30.320+08:00 "country": "China",
2023-12-02T12:02:30.320+08:00 "countryCode": "CN",
2023-12-02T12:02:30.320+08:00 "region": "GD",
2023-12-02T12:02:30.320+08:00 "regionName": "Guangdong",
2023-12-02T12:02:30.320+08:00 "city": "Shenzhen",
2023-12-02T12:02:30.320+08:00 "zip": "",
2023-12-02T12:02:30.320+08:00 "lat": 22.5441,
2023-12-02T12:02:30.320+08:00 "lon": 114.084,
2023-12-02T12:02:30.320+08:00 "timezone": "Asia/Shanghai",
2023-12-02T12:02:30.320+08:00 "isp": "Shenzhen Tencent Computer Systems Company Limited",
2023-12-02T12:02:30.320+08:00 "org": "Tencent cloud computing (Beijing) Co., Ltd.",
2023-12-02T12:02:30.320+08:00 "as": "AS45090 Shenzhen Tencent Computer Systems Company Limited",
2023-12-02T12:02:30.320+08:00 "query": "106.55.202.193"
2023-12-02T12:02:30.320+08:00 }

137

xiaoluobo58

2023-12-07 23:09:15 +08:00

是真的，把链接发到微信，等一会就有两个腾讯云 IP 访问

138

aqing27

2023-12-24 01:02:25 +08:00

目前可以确定的是，只要使用了国内的加密 dns ，百分比会出现上面某个 ip 地址。172.253.231.129 Google LLC United States, Los Angeles
172.253.231.132 Google LLC United States, Los Angeles
172.253.231.133 Google LLC United States, Los Angeles
183.36.24.8 Chinanet China, Xiaolou
208.67.219.90 Cisco OpenDNS, LLC United States, Palo Alto

1 2

❮

❯