我在瀏覽器上看什么,，QQ 都知道？

　　這又是什么泄露隱私的新方式,？

　　近日,，一篇名為《QQ 正在嘗試讀取你的瀏覽記錄》的文章引起了網(wǎng)友熱議，一度沖上了知乎熱榜第二,。

　　怎么回事呢,？

　　原來有網(wǎng)友發(fā)現(xiàn) QQ 正在嘗試讀取你的所有瀏覽記錄。

　　看到這一消息,，網(wǎng)友們沸騰了：

　　啊這……我在瀏覽器上的小秘密都保不住了,？？

　　我就想知道 QQ 收集這個干什么呢,？

　　甚至有網(wǎng)友還翻起了 10 年的舊賬,，調(diào)侃道：

　　原來 360 說 QQ 流氓是對的。

　　1

　　QQ  正在讀取你的瀏覽器記錄

　　那么,，網(wǎng)友是如何發(fā)現(xiàn) QQ 這一行為的呢,？

　　這還要從某技術(shù)大佬的一篇帖子說起。

　　1 月 15 日,，在 V2EX 互聯(lián)網(wǎng)論壇上,，有網(wǎng)友貼出了這樣一個帖子：

　　”前些天用 QQ，為了防止一些流氓行為,，特地去的 MS Store 里面安裝的 QQ 桌面版,。幸好之前用火絨的自定義攔截功能，設(shè)置了一些重要或敏感數(shù)據(jù)目錄的保護(hù),。

　　隨后這位網(wǎng)友貼出了一張疑似 QQ 收集用戶瀏覽器記錄的攔截日志截圖：

　　從日志截圖上看,，QQ 正在嘗試訪問微軟的 Edge 瀏覽器的用戶目錄里面的 History 目錄，這個目錄存放著用戶使用 Edge 瀏覽器進(jìn)行瀏覽過的網(wǎng)頁記錄信息,。

　　此外,，該網(wǎng)友也指出，QQ 在登錄 10 分鐘后,，就會開始掃描 Appdate\Local 下的所有文件夾,。并對其中 User Data\Default\History文件進(jìn)一步的掃描，而該文件就是 Chrome 瀏覽器默認(rèn)歷史記錄存放位置,。

　　并且,，微軟 edge，360 瀏覽器，獵豹瀏覽器,，Chrome 瀏覽器無一幸免,。

　　也就是說，當(dāng)你登陸 10 分鐘之后,，你的瀏覽器記錄就都被掃描讀取了,。

　　不過，也有網(wǎng)友@qwqdanchun 質(zhì)疑這是不是個例呢,？

　　于是他用虛擬機(jī)裝上 QQ 和 Chrome 驗證了一下,。

　　10 分鐘后,，果然看到了讀取 AppData\Local\Google\Chrome\User Data\Default\History 等目錄的操作,。

　　那么，QQ 讀取到的瀏覽器歷史記錄又拿來干啥了呢,？

　　這位網(wǎng)友又進(jìn)行了進(jìn)一步的分析,，掛上 x32dbg，動態(tài)調(diào)試找到位置,，然后去 IDA 里直接反編譯出來,，就得到了如下結(jié)果：

　　可以確認(rèn)的是 QQ 確實會讀取瀏覽器的歷史記錄，但讀取鏈接用來干什么,，目前還不清楚,。

　　此外，也有網(wǎng)友 @mengyx 爆料稱,，這樣的操作,，QQ 和 TIM 起碼干了有一年半的時間了。

　　今日,，網(wǎng)友 @qwqdanchun 在知乎上再次回應(yīng)了此事,，他表示：

　　希望大家明確兩點(diǎn)，首先只是陳述事實,，這并不能證明騰訊在竊取用戶隱私,，而這樣的操作也僅僅只存在于電腦版 QQ 和 TIM，微信和其他版本的QQ,，TIM,，并沒有找到此類操作。

　　其次,，被讀取的只是瀏覽器歷史記錄,，密碼書簽和 cookies 等是安全的。而瀏覽記錄也不是直接上傳,。

　　2

　　騰訊回應(yīng)：用以判斷用戶登錄安全風(fēng)險

　　就此問題,，雷鋒網(wǎng)也詢問了騰訊方面，騰訊對此回應(yīng)稱：

　　該操作是一個對抗惡意登錄的技術(shù)解決方案，因系統(tǒng)識別有不少偽造的 QQ 客戶端會惡意訪問多個網(wǎng)站作為前期輔助工作,，因此在 PC QQ 客戶端中加入了檢測惡意的異常的訪問邏輯,。

　　同時，騰訊也強(qiáng)調(diào)讀取的數(shù)據(jù)不會上傳至云端,，不會儲存,，也不會用于其他用途。

　　目前,，已更換了檢測惡意和異常請求的技術(shù)邏輯去解決上述安全風(fēng)險問題,，并發(fā)布全新的 PC QQ 版本。

　　附騰訊知乎回應(yīng)全文：

　　近日,，我們收到外部反饋稱PC QQ掃描讀取瀏覽器歷史記錄,。QQ安全團(tuán)隊高度重視并展開調(diào)查，發(fā)現(xiàn)PC QQ存在讀取瀏覽器歷史用以判斷用戶登錄安全風(fēng)險的情況,，讀取的數(shù)據(jù)用于在PC QQ的本地客戶端中判斷是否惡意登錄,。所有相關(guān)數(shù)據(jù)不會上傳至云端，不會儲存,，也不會用于任何其他用途,。

　　具體情況為，該操作為歷史上線的一個對抗惡意登錄的技術(shù)解決方案：因系統(tǒng)識別有不少偽造的QQ客戶端會惡意訪問多個網(wǎng)站作為前期輔助工作,，因此在PC QQ客戶端中加入了檢測惡意和異常的訪問邏輯,，以此作為輔助手段去判斷惡意客戶端。

　　對本次事件,，我們深表歉意,，內(nèi)部正梳理歷史問題并強(qiáng)化用戶數(shù)據(jù)訪問規(guī)范。目前,，我們已經(jīng)更換了檢測惡意和異常請求的技術(shù)邏輯去解決上述安全風(fēng)險問題,，并發(fā)布全新的PC QQ版本。為減少不便,，所有受影響的PC QQ歷史版本將在今天開始進(jìn)行熱更新和推送升級包,。同時，手機(jī)端QQ不存在上述操作,，不受影響,。

　　最后，感謝各位技術(shù)愛好者的監(jiān)督,，我們也歡迎大家向騰訊安全應(yīng)急響應(yīng)中心（騰訊安全應(yīng)急響應(yīng)中心 ）提交報告,。