吐槽一些，这样的数据可以随便暴露出来，安卓真的太容易拿到权限了

[xiaome]

开篇说一下起因，
本来是这样的，手机是 flyme，root 了想精简一下不必要的程序，看到一个不认识的包名com.meizu.sceneinfo
百度了一下，不知云云，然后谷歌了一下，好像发现了一个不得了的网址

然后进去看看，里面是这样的

emmmm，我好像发现了什么不得了的东西
两个网址索引都是有这个包名的，我试着高级搜索，找几个大家都会用的程序，然后 emmmm

安卓形式真的这么严峻吗，现在有种脱光衣服站在大街上的感觉。

最后再吐槽一下这个所谓的跑店通，这样的东西完全没设置权限，嫌麻烦吗?
发到这个节点也不是想奢求你们删数据，毕竟这么做的我相信不止你们一家；但是至少让普通人看不到吧。。。

感觉评论走向已经变成了哲学问题，我也自信的分析一波?

首先应用要权限这个事情本身是没错的；有相应的权限可以让软件为你做更方便的事情，比如说短信验证码自动填充；
有的软件你不给权限是没有办法做到某些事情的，不是程序员也能理解吧，巧妇难为无米之炊这样的意思。
那就分两种情况，
1、必须要权限的，没有就不能正常使用的
2、就是要权限，但其实并不是功能硬性需求的
第一种那就只能给了啊，你拿到权限才能做出这样的事情，这样的功能对吧。
第二种用户也没办法判断，所以作为用户只能期盼软件开发者的素质不会拿去干什么别的事情。
所以也得出结论，大多数情况下用户是没办法去阻止软件去拿权限的，更有软件不给权限就不让你使用的，评论下面也有贴图，不相信的可以去看看。
---
然后分析一下，万一你的权限被软件拿去干别的事情，如同本贴一样，被拿到软件列表，IMEI，iccid 等等。
那本贴的数据来分析一波开发者拿到数据的可行用途，当然主观上我还是认定开发者素质还是 ok 的。
1、分析用户行为、喜好、获取用户画像，大数据调研之类。
2、分析产品数据、适配兼容、适配更多机型等。
3、查寻到软件提供商是管理类软件，也有可能是向具有管理权限者开发的数据，也就是正常的产品需求。
4、向第三方兜售数据
第一、二、三种我个人还能接受，属于产品的需求。
第四种如果确认属实而且有证据，我会去告产品公司。
ps.以上言论都建立在产品使用时被告知数据用途且可以被我看到。
---
安卓上面确实也容易被拿到权限，谷歌也在这方面一直努力；
个人还是比较愿意相信世界更美好的，不过今天看到这种数据完全暴露在外面，没有任何权限限制，搜索引擎都能检索，我个人是非常气愤的，不管你的看法是怎么样，反正我非常不认同这样的做法。

[DoraJDJ]

所以要想用国产大厂的应用程序，还是把它放到 iOS 设备比较好，或者网页版如果能用就不用 App。

[riggzh]

IMEI 是电话权限，很多软件去要了这个权限。

[iFlicker]

国外的也是，gp 上下载的好多都会干这种事。不信可以去抓包 or 反编译瞅瞅

[DoraJDJ]

@riggzh 说到电话权限，之前装酷安的时候就很纳闷，启动的时候这应用要求了两个权限：存储空间和电话。
我就纳闷了，你个应用商店要打 call （字面意义上的）吗？现在看到这个评论算是明白了，果然我把酷安塞进 Android 虚拟机用是没错的。

[ssynhtn]

root 了本来就是这样的

[hsuan]

能不能说的明白一点，把你的什么数据暴露了？

[7654]

这个网站可以任意浏览，居然还有 http 日志
创建时间 手机时间 客户 版本 Status Code Request Method Request URL 查看

[snowolfy]

是我的电脑问题么？就只有我看不到截图？

[xiaome]

@iFlicker #3 眼不见为净，第一次第二次还能表示抗议，看的多了感觉习惯了；只是今天这个暴露数据真的让我觉得不能苟同，还要说下事实
@ssynhtn #5 你可能没看明白主题，很明显这不是 root 以后拿到的啊。

[yejinmo]

我试了一下百度是搜不到的 所以

普通人看不到🙄

[shixianchen]

楼主对 Google 的运用很娴熟！！

[LPeJuN6lLsS9]

获取所有程序列表这权限似乎很容易拿到，Android N 自带的权限控制关不掉，我现在看到要电话权限的就怕

[oott123]

看了一下 跑店通，应该是某种企业管理软件。
这种和软件开发者水平挂钩，和操作系统关系并不算非常大，虽然说在 iOS 下也没法收集这么多信息就是了。

[ylx]

获得约 1,200 条结果

[pie]

怎么搞？限制一下。手头也有 flyme ……

[riggzh]

@xiaome 其实安卓官方有最佳方法
https://developer.android.google.cn/training/articles/user-data-ids.html?hl=zh-cn
但是因为一些你懂得原因，就是要拿你的 IMEI

而且不拿你的 IMEI，老子就不让你用了
比如微信：

[riggzh]

@oott123 企业证书的软件依旧可以，只是 App Store 会卡你而已

[AddWar]

好像只暴露了一些常用应用

[qdwang]

隐私这种东西，已经放弃了。除非所有产品都是去中心化的。纯去中心化的产品，有需要的时候，才会认真考虑隐私问题，并且才能保证任何非你允许的人都获取不到你的隐私。

[JuicyJ]

i.loli.net 的响应时间过长。
图床挂了？

[besto]

这是 VENDOR 内置的程序和 Android 有什么关系。。。他当然想干嘛干嘛了。。。

[yushiro]

@riggzh 没错，android 版本的微信就是这么流氓，本来备用机是三星的，顺便测试一下 andriod 版微信开发页面的兼容性，现在只能用回 ios 了。

[cove]

TIM 截图 20171122090106.png 里面的一些截图这样木有发看呀。

[jasonnz]

iOS 是对付流氓的利器。

[x86]

直接访问就可以看了
http://log.paodiantong.com/

[qsnow6]

所以撇开流畅，信任这些因素，Android 的大环境跟 IOS 还是有差距；

[qsnow6]

信仰

[AckywOw]

话说 IMEI 泄露了会怎样？

[DeweyReed]

获取应用列表及每个应用详情，本不需要任何权限。还有 CPU 等等的信息。
iOS 我查了一下似乎也不需要（不懂 iOS ）。

[LMkillme]

@DeweyReed
iOS 就没这种权限，一个字：不准拿。
开发者要拿的话，需要使用私有 API， 但这会导致审核无法通过

[cppgohan]

看起来是一个 app 上报的日志错误信息..

Android 权限比 iOS 要开放, 我觉得开放是个双刃剑, 不过我倾向于合理的开放. 相比 iOS 今天在国区下架原版 minecraft, 明天在国区下架 RSS 软件, 折腾半天才能装上软件, app 一定要走 store 家的分成. 我还是觉得 Android 的方式更自由, 但同时你也牺牲了审核, 带来了风险.

Android 和 PC 一样, 列举安装的应用, 每个应用程序都可以做到, 今日头条什么的肯定用它来挖掘用户喜好和用户画像了.

[Love4Taylor]

@riggzh 只是拿 IMEI 还算好了 之前 TIM 还明晃晃的把 IMEI 放在内置浏览器 UA 里......

[domty]

拿 IMEI 是为了算 App 留存率之类的数据吧。

[yanhejihe]

md，电话权限其实是个误翻译。很多 app 要的电话权限其实只是 phone-state （手机状态）权限，而不是 call，也不是 contacts 权限，是为了获取手机的 imei 用的。当然这个锅还是要 Android 背。

[CastleBUPT]

谷歌这家公司就是靠追踪用户数据来打广告盈利的
基因如此，Android 当然不会对此做什么限制
所以要是用 Android 的话，就不要把这些数据当作隐私就好啦

[yanhejihe]

如果这个 lz 发的网址是生产用户的数据，那问题也很大，我认为这应该只是测试数据。

[yanhejihe]

@DoraJDJ 34 楼是回复你的。忘了 at 了

[wknet1988]

@LMkillme 这明明是三个字。

[v0768ex]

每装 app 后就把权限全关掉，再按需要慢慢开启。然后别把手机隐私看得太重，其实我们早无隐私可言了。

[yanhejihe]

@CastleBUPT 逻辑不对。Google 他可以给自己的应用所有权限，但把第三方权限限制死，也不会影响 Google 追踪数据。所以用这个理由来说明 Android 的权限问题是不合理的。权限问题是个技术问题，不是简单的为了数据。把权限完全限制死了，如果想做一个自动读取验证码的功能就不行了，iOS 就是这样的无趣。

[game3108]

iOS 目前看来唯一一个好处就是比 android 安全一些了。。。。。。

[CastleBUPT]

@yanhejihe
如果 Google 在 Android 里留后门给自己，会不会牵扯到法务问题我不知道。。。
我想说的是 Android 在开发的过程中可能就没考虑过把用户数据当作隐私，所以也不会有给自己留后门的问题。
FYI，自动读取验证码这个功能在我看来超级可怕。

[notreami]

在地球，居然有人谈隐私？？？哪个国家？哪个产品？敢说没利用用户隐私？？？

[honeycomb]

@xiaome 坚持十年会有变化的。

[CastleBUPT]

@v0768ex
@notreami
滑坡谬误。
A 隐私已经被泄露，不代表 B 隐私也可以被泄露。
X 公司拿到了隐私数据，不代表所有公司拿到隐私数据都无所谓，更不代表设防是无所谓和毫无疑义的。

[EricCartman]

@notreami 但是我不敢把心隐私给你国小企业啊

[muziki]

上梁不正下梁歪系列
连 google 自己都在用户关闭相关设置的情况下私自上传敏感数据就不要怪 android 厂商吃相难看了
https://www.theverge.com/2017/11/21/16684818/google-location-tracking-cell-tower-data-android-os-firebase-privacy

[shellZCY]

安卓你还想要隐私？穿个露档大裤衩走大街上，你告诉我你要把小弟弟藏起来....

[xiaozuo]

@yanhejihe 现在数据是各广告主可以买卖共享的，如果谷歌只给自家 app 权限，不给其他 app 权限，意味着谷歌买不到其他 app 的数据了

[azh7138m]

@shellZCY iOS 不能设置 不允许 app 读取我的 IMEI

[opengps]

网站权限不合理导致的漏洞比比皆是，我知道的最严重的一个，一大堆用户隐私照片，因为自增 id 规律命名，导致爬虫通过一个路径遍历拿走全部用户照片资料

[sephinh]

这不就是安了跑店通软件的魅族手机给跑店通发送的程序安装列表吗，很多安卓程序都会要这个查看程序列表的权限啊……泄露楼主什么隐私了？

[gdtv]

@Love4Taylor 把 IMEI 放在内置浏览器 UA 里还好，联想 zuk 系统还把我手机号和坐标发给第三方广告网站： https://www.v2ex.com/t/367213

[psklf]

什么 你们都能看到 lz 的贴图吗

[Zzzzzzzzz]

@muziki 苹果有开关么? 航模那种大功率 GPS 模块都要在空旷的地方搜到六七颗星的前提下才能保障偏移不超过十几米, 一般室内连颗星都搜不到， 那问题来了，iPhone 的室内定位准不准? 别说 iPad wifi 版和大部分 mac 系列设备没 GPS 模块, 偏移都不大， 想想都知道怎么回事了......

[muziki]

@Zzzzzzzzz 问我 ios 做什么？广告公司当 biaozi 又立牌坊开始转移视线？ ios 再烂关你广告公司作恶毛事

[meanmachine]

http://log.paodiantong.com

[cnkuner]

来来咱们讨论一下什么是隐私?/真诚脸

[opengps]

@gdtv 放在 ua 里就等同于泄露给第三方，我网站在识别 ua 时候就发现过，直接带了 imei 这种唯一识别信息，一旦通过大数据关联其他信息，很容易泄漏隐私

[QAPTEAWH]

@jasonnz 我在想，会不会大厂都有部门专门研究 iOS 漏洞，并且仅供内部使用，然后 iOS 用户其实早就裸奔了。

[Zzzzzzzzz]

@muziki google evil 没少干我是知道的， 甚至我还能告诉你 google 十多年前发家的高价主力广告都是类似 X 度莆田系那种坑死人不偿命的替代性医疗广告. 我只是针对你说的这点强调一下， 通过采集用户数据改进定位基本是所有厂商都在这么干的, 所以 google 这个根本不意外 ， 苹果也逃不掉的

[fantasy467047]

终于知道安卓的口碑差在哪了，原来各家厂商的优势都是自己的，锅则全推给安卓。魅族的问题也能甩到安卓身上去，楼主的脑子让人敬佩。

[mosliu]

@psklf 我不挂爱国看不到。。。。
挂了就看到了

看了下 是 i.loli 这个图库的 我确定我这边是被国爱了的。。

[xiaozuo]

@azh7138m 我司是做广告技术的，iOS 只能获取 idfa 和 idfv，IMEI 在几年前就不能获取了。

业内同行倒是有专门做 Android 广告黑科技的，能搞的东西实在太多了。

[xiaome]

@fantasy467047 #62 你说话也过下脑子好吗，这是其中一个的问题吗，如同 @sephinh 说的，这是运行 flyme 的手机安装了“跑店通”这个软件，然后软件上传了数据，后台被谷歌检索到；我搜索的时候看到了数据，恰好是搜索了 flyme 专有的包名而已
我吐槽的也不是整个安卓，而是安卓的权限管理和跑店通的后台

[azh7138m]

@xiaozuo 私有 api，虽然上架大概率被拒（

其实就是唯一标识设备的问题，真的重视隐私可以 root/越狱之后伪造的

[cnt2ex]

所以我更倾向用网页版，而现在各种网页版强推 app，不用 app 还不给看。

[xiaozuo]

@azh7138m 私有 api 的能过的，反正我是没遇到。

root 就算了，看过业内方案，root 后简直让别人为所欲为。现在都是通过 SDK 嵌入方式执行黑科技，只要嵌入了他们的
SDK 的 app 都可能让 andorid 机成为木马。

[xxgirl2]

装了 AppOps。没法 root 也能将就用。
不给权限反而通知回应用的做法太坑，直接就给大流氓们反向利用了。

[ssynhtn]

@xiaome 因为没看到你的图片
现在明白了, 原来是一个叫 paodiantong 的 app 上传了你安装的 app 然后还放到网上让人直接看到了, 嗯这个是 app 的问题, 不是 Android 的问题, 其它操作系统也是这样的, 除了某 os, 不排除以后 Android 会在这方面跟进某 os 的做法, 毕竟手机操作系统也只有这两家了.

[CastleBUPT]

@Zzzzzzzzz
哎呀就喜欢看到你们这些人跳脚说“苹果以后也会这样的”
要不就没人监控苹果到底有没有非法使用用户数据了

[CastleBUPT]

@azh7138m
因为使用私有 API 被拒，如果再三被发现会被拉黑的，风险较大。

[wuliao49]

很多时候这个其实和 APP 本身无关。例如上面各位提到 IMEI，我也不想拿，拿了也没用。但是监管规定要拿，而且还要报送的。

[kokutou]

@DoraJDJ #4 打 call，你好像暴露了什么

[ELLIA]

跑店通软件的问题，我还以为是魅族的，看了半天，是这软件的问题，吓我一跳……

[DoraJDJ]

@kokutou 多谢这该死的新闻媒体瞎用网络词汇，然而我对偶像没有兴趣。

[honeycomb]

这些问题 Google 有很大责任：

1，运行时权限居然是可以让应用强迫用户授权的，在 issuetracker 还大言不惭地回复
“ You can always give 1 star ”

缓解措施：AppOps

2，居然允许第三方应用获得设备的永久唯一识别码(IMEI/MEID, Build.Serial)

3，允许应用获得当前用户的全部已安装应用列表
害的人们不得不去用 Oasisfeng 的 Island，用 Xposed+Xprivacy

这些问题在 iOS 要么没有，要么已经得到了妥善解决(获得已安装应用列表受到很大限制)

@riggzh
用 AppOps 可以强迫它获取不到 IMEI，也不弹出这个提示

@DeweyReed
iOS 从 10 或者更早开始就不能(或者说难以)获取完整的应用列表了

@AckywOw
IMEI 是设备永久不会变的识别码，是跨应用追踪的绝佳 id

@CastleBUPT
原来这个叫做滑坡谬误

@sephinh
作为一个应用，通常而言显然没有必要知道用户在设备里还装了什么软件

@xiaozuo
就是这么回事

@CastleBUPT
@ssynhtn
iOS 新增加的用户权限 /隐私方面的特性，Android 通常都会在一两年后跟进

@wuliao49
“但是监管规定要拿，而且还要报送的”
你们应当拒绝这样的要求，或者停止发布 iOS 版本，因为在 iOS 上拿不到这样的永久唯一识别码

@riggzh
IMEI 不是电话权限，IMEI 是与蜂窝设备(GSM/UMTS/LTE)绑定的一串唯一的数字
Android 把获取 IMEI/MEID 的 API 的权限放在电话权限组里

[wuliao49]

@honeycomb 拒绝是个天真无邪的选择。IOS 拿不到 IMEI，是允许用 UUID 代替的。而且不止 IMEI，报送的东西比你们提到的多。你还是学生？还是在国外？

[Icezers]

所以 作为 Android 开发者 已换 iPhone :)

[buguniaogu]

对于最近谷歌会接收 cell （移动基站）信息问题，ip/cell Id/Wifi 大数据，不知 iOS 与安卓具体是怎样的？

[buguniaogu]

@ssynhtn 查看应用使用情况这个权限是需要自己授权的

[janrone]

也许 iPhone 是另一种 眼不见 “未净” 而已 。

[CastleBUPT]

@wuliao49
看起来你既不知道为什么要用 UUID 代替 IMEI 作为 app 身份标识，也不知道 iOS 到底能收集到什么信息

[buguniaogu]

国内安卓制造商开发一个收集信息的应用，然后放开给国内第三方应用。谷歌根本没有能力管。。。

[buguniaogu]

用国产安卓的，就是个信息收集器

[buguniaogu]

@buguniaogu 再加上每个安卓厂商都有自己的应用商店，第三方应用根据不同厂商定制上架，完美。

[yuriko]

我刚搜了下，貌似用 PackageManager 获取应用列表貌似的确不需要权限……
谷歌可能是觉得这个不是敏感数据吧


不过这个数据怎么看都是厂商问题，竟然把用户数据 Log 贴在公屏才是问题所在……
这是企业的担当问题啊……我以前在某厂的时候，Log 里打了一个动态 MAC 地址都安全违规
谷歌退出+安卓开源免费这两点可能才是问题，不然绕不开 playstore 一样能解决很多问题。


而且，谷歌产品很多工程师思维，导致了 Android 的权限管理设计本身也是问题。
哪些东西可以给第三方用，和我们能在上面干什么，工程师化的设计趋向于一个无所不能的体系也是问题所在。

以至于更多的责任被转嫁给用户了，然而用户都是小白为主，厂商为所欲为，谷歌又不介入国内……

[st2udio]

曾经有人向我购买 IMEI，电信的。说他有内部人，做扣费用的。。

大致说的是，我给他提供电信 IMEI，他从内部直接扣用户话费，然后给我分钱。。

[killadm]

最早的数据是从 2016 年 4 月 20 号开始的
http://log.paodiantong.com/RuntimeLog?date=2016-4-20

[yuriko]

@st2udio 我就想起我手上有 IMEI 为空的手机，怎么算……

[lslqtz]

@DoraJDJ 这个没问题啊 打一下开发商的电话

[jiujiuKA]

年初发现了这个网站，只能把所有转移到 ios 了，无他办法。

[buguniaogu]

@yuriko 这个从哪看来的？（貌似用 PackageManager 获取应用列表貌似的确不需要权限…… ）

[wupher]

换 iOS 吧，虽然严格来说也不保险。但是，总算比 Android 强。

[mune]

请问 flyme 如何 root ？试了好多次不成功。

[buguniaogu]

看到，国产安卓很多有单独获取应用列表的权限。不知具体怎样。。是怎么与第三方应用设置默认、提示。。

[wang12xishan]

我手机里面安装一款英文软件（一款英语学习软件，国内不用梯子就可以用），在我的 nexus 4 上运行的好好，最近换了小米 6 安装了这款软件，发现是用不了，但是奇迹的事情发生了，我把系统语言改成英文居然能用了，wtf，什么情况，然后我换了一下同事魅族手机试试，发现情况是一样的，换上英文系统就能用，你们谁能解释解释。。。

[xiaome]

@mune #95 emmm 你的关注点也是奇特，如果你也是魅蓝手机，可以试试这个 https://yubanmei.com/archives/10/

[xiaome]

@wang12xishan #97 软件版本和安卓版本一样吗，如果不一样就没有可比性。
用不了是提示什么，还是说直接闪退之类的

[faninx]

IMEI 不是电话权限的。很多是为了用来算唯一标示。好像高版本的 Android 已经不让拿这个权限了。