如何知道是谁在QQ空间发的小秘密！？

admin

本篇文章来源于一位

闲的没事喜欢搞黑技术的IT大佬

Charles Yang

原标题是关于QQ空间秘密的若干研究

QQ里的秘密空间大家都应该知道，作为一个秘密发布者与评论者都不会有身份信息泄露的地方，自然是秀恩爱、表白、骂架或者是吐露心迹的好处所。当然也有眼睛火辣的人能一眼看出秘密的发表人，但终归是猜测而已

于是这位大佬觉得有点不爽：我就想知道这些人是谁！于是……这样一堆破坏和谐场面的查明秘密发布人身份的代码就出来了……

首先声明如果你觉得这样做太没意思

就别看了吧……毕竟互相猜猜身份也挺好玩

( ′▽` )ﾉ

接下来就开始正文吧！

前几天爬机票网站很顺利，于是乎……

突发奇想的想玩个大的

这时候恰逢情人节，空间里面各种秘密发的可谓是【数据删除】

于是乎，果断打开空间

【省略各种乱七八糟的言论】

没想到秘密这个页面还可以用浏览器打开…

看见这个页面，果断F12

小编：？？？

既然是要知道秘密发表人的身份，无非QQ号或者其他的ID信息，可以想到，图片应该是很好的一个切入口，因为用户上传图片后，图片应该会以用户的uid甚至qq号形式存储

恰好这篇秘密竟然是带图片的

突发奇想地找图片url

（别乱想了，这个秘密是我发的）

呃。。这也太。。

（直接就把qq号给加上去了啊这……有够水的）

然而在某些图片的url上，出现了这种加密形式的图片格式，虽然后面那几位数字很像qq号

所以这些秘密呢？以及没有图片的呢？能不能再给力一点？

吼啊！

这个时候我发现了getFeed这个json接口用以请求ajax翻页，分析一下这个接口：

Form Data部分，很明显的是按时间来请求的，也就是endtime，一次请求10个item，其余的数据就不管了

而这个请求URL里面，这三项明显的是用来判断用户身份的数值（不然我打码干什么）

当然，cookie也不能遗漏，这个很重要

想快速抓取这些内容，就直接上python，本人使用了PyCharm用以编写代码

在此省略若干步骤

（把2月份整个的秘密全部爬下来）

想查看完整代码的请移步大佬博客：

https://mryang.minelandcn.com/py-qzone-secret/

然后获得了数据当然要分析啊，不然怎么导出？

这里我使用了Json结构化工具进行分析：

http://www.json.org.cn/tools/JSONEditorOnline2.0/index.htm

分析这个json接口（神TM的操作失败）

在分析之前，我们得明确，用以判断用户身份的数据一般不可能以QQ号的形式存储（至于图片那个……我们就不说了吧……）

因此数据一般都会很复杂

其中有三个key非常值得怀疑，因为这三个数据满足判断用户身份的要求，并且数据存在重复的情况

1 orglikekey
2 curlikekey
3 uid

其中，uid这个key一看就非常的明显，我们把它当作首要的索引，把剩下两个当作次要索引

而在这三个之中，最后发现前两个其实是没有太多用的，可能涉及一些更复杂的东西，因为即使是同一个人发的秘密，多次查询后这个key对应的value只有前64或者80或者96位相同，以这个为判断依据，存在疑点并且费力不讨好

于是立即导出数据，sql这些高大上的东西不用，我们就用Excel

按照uid排序

一目了然，在一个uid下面对应的内容就全部被挖出来了~不管是秘密内容还是评论内容~

于是乎，只要用这个软件把uid相同的秘密放在一起，如果这个人经常发，我们就会收集到足够的秘密（而且只要一发图……百八十就知道是谁了），一个一个挨着看看，总能知道是谁发的，况且每人的评论也会带有uid~

所以！以后发秘密小心点！

说不定哪天你就被人发现了！