还能不能愉快的一起玩耍了……支付宝安全控件会窃取 MAC 地址和周围无线 AP 的 MAC 和 SSID

[a2z]

http://static.wooyun.org/upload/image/201410/2014102322313640672.jpg

节操呢？

[zkd8907]

很早以前就卸了，这货安装以后就生动生成N个服务，实在讨厌。。。。

[benmaowang]

@zkd8907 要是卸了那买东西就不方便了啊

[xuc]

据小伙伴们说 Google Chrome Helper 进程假死也有它的原因
之前就删除了用支付宝钱包支付
关键是安卓上的支付宝钱包也很流氓

节操呢？马云

[jsrc]

醉了，都没注意过

[halczy]

@benmaowang 可以装iOS版的扫码交易。估Android 也一样。

[LazyZhu]

唉，阿里人的堕落啊。。。
我在服务里面禁用了，要用时开启。。。

[iyuheng]

@LazyZhu 抓到小灰灰

[tanyuxiang]

安全方面来说，安全软件可以了解ssid，mac这些信息。

以后腾讯阿里还是出一个盗号丢钱责任自负的版本吧

[shinwood]

我了个擦！！赶紧卸，以后再也不用网页版了。

[skyline75489]

只在Windows版有，还是Mac版和Windows版都有这种情况？

[andybest]

windows 版本支付宝安全控件很无下限，逼着人卸载用手机

[VYSE]

好吧，这在手机上基本是国内各家都在干的事啊，比如某鹅

[cxe2v]

这只是判断是不是在常用电脑上登录的手段

[ziyuan]

在国内没办法的，除非你所有国产软件都不用

[MajestySolor]

一大堆黑箱服务，后台不停的扫描数据，我是绝对不信都是为了“安全”

[iscraft]

我终于明白以前我卖书的时候开多个小号刷虚假交易为什么会被处罚了

[tmqhliu]

打着安全的旗号，行流氓之实事。
牢记马云只是一个商人

[zro]

我是把火狐版的控件下载，然后用7-zip提取出里面np开头的dll，然后剪切到FF的plugins文件夹，这样就只有用到支付宝时，控件才激活，应该很难流氓起来吧。。。

不过我发现如果要用到证书的话，还是切换到手机版好了，证书的控件挺难在FF激活的，因为尝试过，就算激活了，跟双击安装效果是一样的，后台服务一堆，还开机自启，相当恶心~

[lshero]

我在想支付宝不会就是这样确定位置的吧？
那这样子一台电脑开多个帐号虚假交易岂不是很容易被发现？

[zkd8907]

@benmaowang 现在用支付宝都在手机上操作，还是蛮方便的。当然我用的是iOS版，Android另当别论。

[est]

@cxe2v 也可以先hash再发送啊。

[zhs227]

国内的厂商处于互相比拼的状态，你不多抓点东西回来你就落后了，现在是用户隐私大数据时代。

法律里面关于禁止采集数据的条文估计也是模棱两可的，没有仔细去看。就算有那么一部互联网用户插件管理法里明确写到“禁止收集用户SSID，MAC和周围SSID信息”， 他们还是会照收不误的，个人一是缺少鉴别的能力，二是也没钱打官司。

说个笑话：“ZG是个FZ国家，我们冇法可依，有法不依，执法不知道严不言，围法不究”

[hitsmaxft]

按支付宝的做事方式, 倒不会真的去盗取用户信息. 只是做什么就不好说了.

[eirk2004]

@hitsmaxft http://blog.superliufa.com/2014/07/Alipaybsm-RawSocket.html

[hyq]

@zro 难道只用np控件，支付宝就不能获取到MAC信息？

[hqfzone]

win8.1 IE11，安卓支付宝后，打开微软网站，VeriSign签发的SSL就不再变绿。卸载重新更新根证书就好了。

[millken]

有兄弟不是做成绿色控件了吗

[zro]

@hyq 获不获取就不清楚，至少能规规矩矩的运行，常驻后台的真的很讨厌，又不是分分秒秒要用的，内存虽大，但也不是这样浪费的

[lingaoyi]

好像好恐怖，求专家分析。

[GhostLin]

一直用iOS的支付。比较安全吧。

[chainkhoo]

@zkd8907 抓住野生博比一个！

BTW我也是用 iOS 的扫码 宁愿麻烦点 也不要被抓走一些不属于他们的东西

[zkd8907]

@chainkhoo =。= 你是？

[cqhtyi]

@zkd8907 同抓住一直野生博比……

[Jacking]

和国内的软硬件厂商纠结这种问题就是太矫情了

[jakwings]

本机的 MAC 就算了吧，应该是用于检测密令和本机专用之类的？

[asca]

@GhostLin 哟，活捉野生老鬼。

[loading]

这不是为了看你是否在常用电脑和常用地登陆吗？

我认为这个如果支付宝写出提示，应该会好些，但是，你知道，国内，这些事隐私，普通大众不值一提。

[maxthonzx]

实在太流氓 已经卸了 以后就用手机扫码支付好了
而且阿里的插件会造成CPU占用暂时性的飙升
我怀疑打游戏偶尔顿卡就是因为这货

[VYSE]

其实手机上阿里系也是这德性，比如某打车软件

[leyle]

安卓手机客户端也很坑爹，我用 autostart 把支付宝挂在的启动服务全部完毕了，只要再次启动一次支付宝，支付宝就又注册上了部分启动事件，关闭都关闭不了。
搞得我每次用支付宝后就要用 autostart 再来关闭一次。真是屌炸天了。

[imydou]

1、下载： https://download.alipay.com/sec/edit/aliedit.exe
2、千万不要安装整个的aliedit.exe，这个家伙捆绑了常驻后台服务进程AlipaySecSvc.exe(像病毒一样疯狂占用内存)，还有后台自动更新等等垃圾玩意。
用7-Zip解包aliedit.exe，在根目录下找到如下4个文件（如果没有，看上面说明）：alidcp.dll、aliedit.dll、pta.dll、npaliedit.dll。
3、IE内核浏览器真正需要的控件是三个文件：alidcp.dll、aliedit.dll、pta.dll，
secedit.exe解包后提取这三个文件到C:\WINDOWS\system32\aliedit（64位系统放置于C:\WINDOWS\syswow64\aliedit）下，然后注册即可。
在aliedit目录下执行注册命令：
regsvr32 alidcp.dll
regsvr32 aliedit.dll
regsvr32 pta.dll
注意：Windows Vista/7/8 要关闭UAC后再运行注册命令；反注册用regsvr32 /u
4、非IE内核浏览器（比如chrome、firefox）真正需要的控件是一个文件：npaliedit.dll
Chrome主程序同目录下建立Plugins文件夹，secedit.exe解包后提取这个文件拷贝进去即可。[/quote]


提取好的chrome下使用的插件见我帖子分享： http://bbs.kafan.cn/thread-1421070-1-1.html

[jevonszmx]

那么，来源网站呢？我想看下自己被黑没。。。

mac不知道是不是好点

[code4world]

很想问下，v2ex注册的人，基本都是程序员或者至少和IT技术关系紧密的职业吧？

既然都是技术类职业，怎么看上去这么业余？？

处理这种问题很简单嘛，搞个虚拟机，国产软件都放虚拟机里面嘛。手机(android)安装支付宝，那不是更加泄漏个人隐私，搞不懂你们这些人。

[20150517]

我装虚拟机的，手机的手机钱包也是装一个不太用的手机，阿里公司完全没有节操的，大数据时候谁搜集的数据多谁就赢，国内完全没有隐私的法律条款

[breeswish]

不抓这些信息，你让支付宝如何去判断是不是常用地点登录..
又想要账号安全又不想告诉它关于你自己的信息，这不科学啊..

[momou]

@imydou Chrome主程序同目录是哪个目录？

[bsklqgy]

起码要给个选择，是否允许获取信息

[lzmbbg]

这是mac备案的节奏么

[barbery]

马云，你的节操掉了

[AWSAM]

作为一个支付控件 获得wifi数据用来判断是否是常用登录地保证安全 这么做无可厚非吧 干嘛要吵

[lyoe]

为了支付安全，提供支付场景信息，很科学啊

[allenforrest]

看了楼上那么多吐槽，谁能解释或分析下，获取了本机MAC和路由器MAC、SSID，能拿来做啥不好的事？

[ichou]

我就用飘柔。。。。 就是这么自信么？

[chainkhoo]

@zkd8907 看我 ID 啊！！！

[zkd8907]

@chainkhoo = = 额。。。got it....

[imydou]

@momou 抱歉我没试过，这是前几天无意发现的帖子。

[chromie]

@imydou 支付宝数字证书 提取那个几文件？

[imydou]

@chromie 我是不清楚的，上面是无意看到的帖子

[GhostLin]

@asca 这都能看到你。世界很大，又真的好小。

[ioschen]

@xuc 我就是一直用的手机支付，扫码支付

[BinbinWang]

电脑装有ssd和hdd

夜深人静时 hdd 忽然开始运转 噪音很大
不知是啥程序开始扫描硬盘了

[ihangouts]

@zkd8907 请问在MAC下 怎么样卸载支付宝证书插件啊 就是PKG格式的

[zkd8907]

@ihangouts 额，之前网上有搜索到一篇文章，需要直接删除几个目录就好了~但是中午没有搜到~