我在瀏覽器上看什么，QQ 都知道？

　　這又是什么泄露隱私的新方式？

　　近日，一篇名為《QQ 正在嘗試讀取你的瀏覽記錄》的文章引起了網(wǎng)友熱議，一度沖上了知乎熱榜第二。

　　怎么回事呢？

　　原來有網(wǎng)友發(fā)現(xiàn) QQ 正在嘗試讀取你的所有瀏覽記錄。

　　看到這一消息，網(wǎng)友們沸騰了：

　　啊這……我在瀏覽器上的小秘密都保不住了？？

　　我就想知道 QQ 收集這個(gè)干什么呢？

　　甚至有網(wǎng)友還翻起了 10 年的舊賬，調(diào)侃道：

　　原來 360 說 QQ 流氓是對的。

　　1

　　QQ  正在讀取你的瀏覽器記錄

　　那么，網(wǎng)友是如何發(fā)現(xiàn) QQ 這一行為的呢？

　　這還要從某技術(shù)大佬的一篇帖子說起。

　　1 月 15 日，在 V2EX 互聯(lián)網(wǎng)論壇上，有網(wǎng)友貼出了這樣一個(gè)帖子：

　　”前些天用 QQ，為了防止一些流氓行為，特地去的 MS Store 里面安裝的 QQ 桌面版。幸好之前用火絨的自定義攔截功能，設(shè)置了一些重要或敏感數(shù)據(jù)目錄的保護(hù)。

　　隨后這位網(wǎng)友貼出了一張疑似 QQ 收集用戶瀏覽器記錄的攔截日志截圖：

　　從日志截圖上看，QQ 正在嘗試訪問微軟的 Edge 瀏覽器的用戶目錄里面的 History 目錄，這個(gè)目錄存放著用戶使用 Edge 瀏覽器進(jìn)行瀏覽過的網(wǎng)頁記錄信息。

　　此外，該網(wǎng)友也指出，QQ 在登錄 10 分鐘后，就會(huì)開始掃描 Appdate\Local 下的所有文件夾。并對其中 User Data\Default\History文件進(jìn)一步的掃描，而該文件就是 Chrome 瀏覽器默認(rèn)歷史記錄存放位置。

　　并且，微軟 edge，360 瀏覽器，獵豹瀏覽器，Chrome 瀏覽器無一幸免。

　　也就是說，當(dāng)你登陸 10 分鐘之后，你的瀏覽器記錄就都被掃描讀取了。

　　不過，也有網(wǎng)友@qwqdanchun 質(zhì)疑這是不是個(gè)例呢？

　　于是他用虛擬機(jī)裝上 QQ 和 Chrome 驗(yàn)證了一下。

　　10 分鐘后，果然看到了讀取 AppData\Local\Google\Chrome\User Data\Default\History 等目錄的操作。

　　那么，QQ 讀取到的瀏覽器歷史記錄又拿來干啥了呢？

　　這位網(wǎng)友又進(jìn)行了進(jìn)一步的分析，掛上 x32dbg，動(dòng)態(tài)調(diào)試找到位置，然后去 IDA 里直接反編譯出來，就得到了如下結(jié)果：

　　可以確認(rèn)的是 QQ 確實(shí)會(huì)讀取瀏覽器的歷史記錄，但讀取鏈接用來干什么，目前還不清楚。

　　此外，也有網(wǎng)友 @mengyx 爆料稱，這樣的操作，QQ 和 TIM 起碼干了有一年半的時(shí)間了。

　　今日，網(wǎng)友 @qwqdanchun 在知乎上再次回應(yīng)了此事，他表示：

　　希望大家明確兩點(diǎn)，首先只是陳述事實(shí)，這并不能證明騰訊在竊取用戶隱私，而這樣的操作也僅僅只存在于電腦版 QQ 和 TIM，微信和其他版本的QQ，TIM，并沒有找到此類操作。

　　其次，被讀取的只是瀏覽器歷史記錄，密碼書簽和 cookies 等是安全的。而瀏覽記錄也不是直接上傳。

　　2

　　騰訊回應(yīng)：用以判斷用戶登錄安全風(fēng)險(xiǎn)

　　就此問題，雷鋒網(wǎng)也詢問了騰訊方面，騰訊對此回應(yīng)稱：

　　該操作是一個(gè)對抗惡意登錄的技術(shù)解決方案，因系統(tǒng)識別有不少偽造的 QQ 客戶端會(huì)惡意訪問多個(gè)網(wǎng)站作為前期輔助工作，因此在 PC QQ 客戶端中加入了檢測惡意的異常的訪問邏輯。

　　同時(shí)，騰訊也強(qiáng)調(diào)讀取的數(shù)據(jù)不會(huì)上傳至云端，不會(huì)儲存，也不會(huì)用于其他用途。

　　目前，已更換了檢測惡意和異常請求的技術(shù)邏輯去解決上述安全風(fēng)險(xiǎn)問題，并發(fā)布全新的 PC QQ 版本。

　　附騰訊知乎回應(yīng)全文：

　　近日，我們收到外部反饋稱PC QQ掃描讀取瀏覽器歷史記錄。QQ安全團(tuán)隊(duì)高度重視并展開調(diào)查，發(fā)現(xiàn)PC QQ存在讀取瀏覽器歷史用以判斷用戶登錄安全風(fēng)險(xiǎn)的情況，讀取的數(shù)據(jù)用于在PC QQ的本地客戶端中判斷是否惡意登錄。所有相關(guān)數(shù)據(jù)不會(huì)上傳至云端，不會(huì)儲存，也不會(huì)用于任何其他用途。

　　具體情況為，該操作為歷史上線的一個(gè)對抗惡意登錄的技術(shù)解決方案：因系統(tǒng)識別有不少偽造的QQ客戶端會(huì)惡意訪問多個(gè)網(wǎng)站作為前期輔助工作，因此在PC QQ客戶端中加入了檢測惡意和異常的訪問邏輯，以此作為輔助手段去判斷惡意客戶端。

　　對本次事件，我們深表歉意，內(nèi)部正梳理歷史問題并強(qiáng)化用戶數(shù)據(jù)訪問規(guī)范。目前，我們已經(jīng)更換了檢測惡意和異常請求的技術(shù)邏輯去解決上述安全風(fēng)險(xiǎn)問題，并發(fā)布全新的PC QQ版本。為減少不便，所有受影響的PC QQ歷史版本將在今天開始進(jìn)行熱更新和推送升級包。同時(shí)，手機(jī)端QQ不存在上述操作，不受影響。

　　最后，感謝各位技術(shù)愛好者的監(jiān)督，我們也歡迎大家向騰訊安全應(yīng)急響應(yīng)中心（騰訊安全應(yīng)急響應(yīng)中心 ）提交報(bào)告。