紅軟基地 推薦
2012-10-16
近日，打假斗士方舟子抨擊360侵犯用戶隱私、360產(chǎn)品不安全成為互聯(lián)網(wǎng)業(yè)界的最大新聞。隨著方舟子和360兩方持續(xù)交鋒，也激發(fā)了不少技術(shù)專家和軟件工程師站出來，通過多種技術(shù)手段分析360產(chǎn)品的安裝、運(yùn)行、網(wǎng)絡(luò)通信和卸載過程。越來越多的證據(jù)表明：360擁有一套完整的竊取用戶隱私和控制用戶電腦的手段。
第一步：監(jiān)控網(wǎng)民電腦，不斷上傳第三方軟件使用信息
網(wǎng)友“liuwater”在搜狐微博稱，發(fā)現(xiàn)360會(huì)將個(gè)人支付寶文件夾的文件傳送到服務(wù)器，由此可能會(huì)截獲用戶身份甚至是密碼等敏感信息，這是典型的木馬軟件的行為!此外，liuwater分析上傳數(shù)據(jù)發(fā)現(xiàn)，他安裝的軟件名基本都被360私自上傳，包括試用軟件。而這種報(bào)告對(duì)一家軟件公司來說非常重要。
從事計(jì)算機(jī)應(yīng)用行業(yè)的網(wǎng)友“我是海獸”也在微博上發(fā)表最新證據(jù)，表明360上傳IE瀏覽器崩潰報(bào)告及用戶隱私，其中內(nèi)容包括計(jì)算機(jī)名，用戶名，網(wǎng)址，第三方日志文件路徑等重要隱私信息。該網(wǎng)友認(rèn)為，360安全衛(wèi)士不僅侵犯了用戶隱私，也直接侵犯了微軟公司的權(quán)益。方舟子在轉(zhuǎn)發(fā)這一證據(jù)時(shí)評(píng)論道，這就跟偵探去翻別人的垃圾是一樣的道理。
這一證據(jù)公開后，360隱私官譚曉生在微博上回應(yīng)稱360上傳IE崩潰信息是為了提升產(chǎn)品穩(wěn)定性，但遭到眾網(wǎng)友的質(zhì)疑。一位網(wǎng)友在評(píng)論中問道：難道360公司還能幫助微軟提升IE瀏覽器的穩(wěn)定性?
360創(chuàng)始人之一、金山網(wǎng)絡(luò)CEO傅盛透露：“360偷竊隱私這件事是百分之百存在的，很多人的文檔會(huì)被看到，個(gè)人上網(wǎng)的痕跡會(huì)被看到，一個(gè)官員上午在寫材料，下午上某些很有生活情趣的網(wǎng)站……”。而騰訊前拍拍網(wǎng)技術(shù)總監(jiān)魏華武透露，引發(fā)3Q大戰(zhàn)的原因是騰訊發(fā)現(xiàn)“360就是木馬病毒，直接竊走QQ好友關(guān)系，這是騰訊的最重要的資產(chǎn)。”
第二步：隨時(shí)調(diào)整監(jiān)控策略，使周鴻祎的意志在5分鐘內(nèi)貫徹到上億臺(tái)電腦
身為軟件工程師的網(wǎng)友“獨(dú)立調(diào)查員”發(fā)現(xiàn)，即使不訪問任何網(wǎng)頁、甚至不動(dòng)鼠標(biāo)鍵盤，360安全瀏覽器也會(huì)每5分鐘會(huì)與服務(wù)器進(jìn)行一次通信，下載一個(gè)偽裝成“安全網(wǎng)銀”的組件。該文件下載后并不存入磁盤，而是動(dòng)態(tài)控制360瀏覽器進(jìn)行特定動(dòng)作的執(zhí)行。這個(gè)周期性的過程在后臺(tái)運(yùn)行，是全自動(dòng)、無提示、不留任何痕跡的，所以很難被發(fā)現(xiàn)。
這位工程師表示，只要360公司愿意，可以隨時(shí)通過修改這個(gè)組件的內(nèi)容，向運(yùn)行了360瀏覽器的電腦發(fā)布任意指令，幾乎可以做到想干什么就干什么，完全將用戶電腦變成了肉雞。換句話說，周鴻祎的意志在5分鐘內(nèi)就可以貫徹到上億臺(tái)電腦中。已經(jīng)有多個(gè)有力的證據(jù)表明，這個(gè)說法并不夸張，也絕非危言聳聽。
該網(wǎng)友爆料在12日晚爆料該漏洞后，13日上午發(fā)現(xiàn)360公司已連夜悄悄做了改動(dòng)，360服務(wù)器的指令文件被改成了空文件。他表示擔(dān)心360公司會(huì)指控他造謠，所以保留了帶有360數(shù)字簽名的DataDll文件，必要時(shí)可交由警方鑒定。該網(wǎng)友最新的微博還表示，自從他開始發(fā)布360產(chǎn)品的問題以來，還沒有任何一個(gè)360官微或高層微博敢轉(zhuǎn)評(píng)他的帖子，更談不上解釋和辟謠。
第三步：遠(yuǎn)程控制卸載過程，用戶想不用都難
360對(duì)網(wǎng)民電腦的控制不限于用戶使用360瀏覽器和搜索引擎，甚至包括會(huì)遠(yuǎn)程控制卸載過程，決定卸載哪些控件、保留哪些功能。整個(gè)過程不露聲色，不留痕跡，用戶即使發(fā)現(xiàn)也很難迅速留下證據(jù)。
“獨(dú)立調(diào)查員”在微博中表示，他分析出來360軟件的卸載配置文件并未保存在電腦本地，而是360云端服務(wù)器上的一個(gè)uninstall.ini文件。360公司可以隨時(shí)下發(fā)一個(gè)云端指令，通過修改這個(gè)文件來修改卸載策略，卸載過程完全控制在360手中。這也解釋了為什么很多用戶反饋360瀏覽器無法下載時(shí)，周鴻祎可以在微博中宣稱：360瀏覽器可以正常卸載。
“@獨(dú)立調(diào)查員”認(rèn)為，360瀏覽器卸載程序是不折不扣的木馬。根據(jù)360隱私白皮書，卸載程序時(shí)可以上傳卸載記錄(如被卸載的軟件版本等)。但是在卸載時(shí)360還下載程序控制數(shù)據(jù)，這就完全違背常理了，完全是把用戶電腦當(dāng)肉雞。
所以從以上三個(gè)步驟可以看到，360產(chǎn)品不僅具有竊取、上傳用戶隱私的功能，并且有完善的逃避追蹤和控制卸載的策略，可以隨時(shí)啟動(dòng)或者停止上傳隱私的行動(dòng)，也可以采取拒絕卸載、不完全卸載等方式保留后門，從而為長期霸占和控制用戶電腦創(chuàng)造條件。
若非遇到方舟子，以及這些執(zhí)著的程序員，或許360的這些控制用戶電腦的手段還蒙在鼓里。中國幾億臺(tái)電腦是否真的安全，相信很快就會(huì)水落石出。