微博自动点赞，从技术的角度分析是哪个环节在作恶

[OldCarMan]

问题

如题，最近偶然间发现我的微博在去年 10 月 29 号到 11 月 2 号短短几天内，无故给几十条垃圾营销号微博点了赞(见图 1)，几年前也发生过两三次无故关注一些营销号的事件

分析

• cookies 被窃取 /劫持（可能性最高）

1.PC 浏览器的一些扩展程序窃取了 cookies，不过我看了我 chrome 浏览器的扩展程序，除了一些常用的插件，剩下的基本都是官方插件或者停用状态的(见图 2)

2.运营商劫持了 cookies，这个感觉可能性挺大的，但没证据。不过参照前几天有一位 v 友发帖说将自己的一个接口从 PC 端 qq 发到手机端 qq，接着该接口就收到好几个不同 ip 的请求。

3.PC 应用读取 cookies 相关文件（类似前段时间 qq 偷偷读取浏览器浏览记录），但我电脑没装什么乱七八糟的软件，再者即使就算有，前段时间通过火绒设定了自定义防护后，也没见一些第三方软件读取相关文件。所以可能性低。

4.代理或者路由器窃取 cookies，包括连了一些公用 wifi，不过上面说的点赞期间没用过其他 wifi，不过手机端可能连过一些梯子或者加速器，这倒有可能被窃取了。

• 账户被盗

看了微博最近的登录日志，都是正常，所以排除账号被盗用

总结

如果排查微博内部作恶，大家觉得会是哪个环节在搞鬼，另外不得不吐槽一下微博，问题出现后，我搜了一下这个问题好几年前就存在了，到现在还这么常见，并且也没见那些作恶者被抓了，实在是无力吐槽，技术上没法避免？相比于国内其他社交软件，我好像没听说过微信或者 qq 会出现过类似的情况（当然微信和 qq 没有 PC 网页端或者没有长期保存 cookie 在浏览器上）。

补充：

图 1

图 2

[czfy]

你可以理解成就是微博官方做的，官方就是要通过这样来做虚假流量

[xtx]

长期不登陆使用的帐号被当做僵尸号卖了。

[mokeyjay]

民间说法是微博官方盗号、卖僵尸号
微博官方喊冤，说是以前没有全站 https 时被劫持了 cookie 导致的。好像还说一些小运营商也会主动劫持

[x86]

官方自导自演罢了

[winterbells]

重置密码，不要登录，过段时间看看，照样有

[hoyixi]

"从技术角度"，这个出发点，可能就让你错过了最重要的东西

[imn1]

需要那么复杂的技术么？
那么我开个话题：注销后还有数据留存，从技术的角度分析是哪个环节在作恶

不就是改个数据库字段值么？还需要什么复杂技术？

[OldCarMan]

@czfy 嗯嗯，反正数据在人家手里，想做什么，咱也控制不了，不过是如果官方需要虚假流量的话，自己整一批僵尸号养着，为啥要我这个还算经常使用微博的账号来搞这些。

[OldCarMan]

@xtx 是啊，我看我之前关注的一些好友就是这样。被拿来发各种乱七八糟的东西。

[sheyulili]

你觉得现在微博靠啥赚钱？

[OldCarMan]

@mokeyjay 我看网上是有说运营商劫持，但就是没看到下文了。。。
@x86 哎，现在国内这类社区算一家独大了，数据也是人家的，要不是有一些想关注的需求，早不用它了。
@winterbells 个人觉得跟密码没关系，密码要是被盗，就等于账号被盗了，会有相应的登录记录的
@hoyixi 毕竟出了问题，别人那里又没法控制，只能从自己的身上找问题。
@imn1 嗯嗯，确实，不过我这里主要是想看看自己平时忽视的哪些环节也会导致 cookie 之类的被窃取。

[wyx119911]

我猜测属于官方默许的漏洞，明面不允许实际睁一只眼闭一只眼，对微博利益有帮助何必执法呢

[OhYee]

高中时期拿 QQ 邮箱注册了微博账号，不过当时没时间玩，相等于注册了就没用过
大学的时候有人问微博号就登了上去，发现关注了很多乱七八糟的账号，而且点赞并发了很多乱七八糟的东西，为了删东西，取关奇怪的账号我还找了个工具去自动处理

QQ 中间没被盗过，QQ 邮箱也没收到过任何奇怪的邮件
密码没有被改，虽然密码不算特别复杂（不像现在全是随机字符），但是也没那么容易暴力出来

1. 起码我高中时期没用任何浏览器扩展（那时候手机也没法装扩展把）
2. 运行商劫持我确定不了，不过得刚好我第一次用的时候就劫持掉
3. 当时应该几乎没用电脑登过（实际上注册后就没用过）
4. 起码注册期间没代理和路由器干扰
5. 账号被盗有可能，毕竟密码还是有暴力破解的可能的，虽然感觉不太大
6. ……我怀疑是 6，毕竟如果几乎没用过，其他可能的概率约等于为 0

[luhe]

遇到过几次，都是在使用了第三方微博客户端之后，而且不止一个，也经常看到有人骂到作者那儿去...挺奇怪的

[OldCarMan]

@sheyulili 哈哈，看得见的大家都大概能知道，看不见的怎么知道。
@wyx119911 嗯，我也很纳闷，明明这种事情层出不穷，持续了这么多年，要是在国外一些比较重视隐私的国家，估计早被罚惨了。只可惜...
@OhYee 哈哈，但是 6 你没证据，2 还是可能的，你可以去看我说的那位 V 友发的贴子 /t/753278，所以希望早点扯上大人物，比如利用明星的微博干坏事，然后被曝出来。。要不然，底层骂破音，高层开静音。。

[OldCarMan]

@luhe 我除了 PC 浏览器和微博手机客户端，从没使用过其他终端登录微博，也从没授权给第三方平台绑定我的微博。

[iSteven]

可能是你授权的第三方客户端拿你的账号去点赞的（或许网上那些花钱买点赞的就是这样操作的？），我怀疑的有一个，Mac 端的微博第三方客户端：Maipo，之所以说是怀疑的，是因为我没有实锤，只是我的个人经历，仅供大家参考。
在使用 Maipo 之前，我没有用过任何的第三方客户端，我的账号也没有那些乱七八糟的点赞，用了 Maipo 之后，这些莫名其妙的点赞出现了，我取消了第三方客户端的授权，并取消了之前那些莫名其妙的点赞后，那些自动点赞再没出现过，隔了一段时间后，我又登录了 Maipo，没错，那些莫名其妙的点赞又出现了，再次取消授权，并取消了所有点赞，从此只用微博官方的客户端，至今，没有再出现乱七八糟的自动点赞了。至于是不是 Maipo 搞的鬼，我不知道，没有实锤，也没有那个心思去找证据，毕竟人家是免费的应用，而且体验还算不错。

[winterbells]

@OldCarMan
1 、重置密码会让所有 session 失效
2 、不登录也就是说不存在 cookie，http 劫持什么的也不会遇到

[OldCarMan]

@iSteven 确实一个第三方平台都没绑定过。
@winterbells 嗯嗯，不过我平时还是会用下微博的，如果不打算登录（不用了），那我还不如注销掉算了。😂

[xiadong1994]

@OldCarMan 因为你这样的号看起来更真实……

[Mac]

我确认是 cookie 被窃取，因为我之前有一阵子是经常自动关注一批人，取消关注后又会被重新关注。后来经过反复试验，只要我不在浏览器登陆就不会出现这情况了。未必是官方，也有可能是电信运营商做的黑产。

[Zy143L]

1.从技术角度 浏览器插件的确有可能，但是目前未听说有这类的
2.微博起码也得是个 HTTPS 了 把自己接口发到 QQ 有 IP 请求是因为 QQ 有域名(安全扫描)这一类东西
3.技术可以实现，但是没啥实现意义
4.同 2 除非你主动安装 HTTPS 解密证书
账号被盗，大可排除
其实大部分就是微博自己人干的事

[interim]

运营商做黑产，这钟观点都能想出来，我只能说，人才。

[renothing]

https://app.weibo.com
特别是注意看下＂我的应用＂

根据我的观察，应该是这里泄漏出去的．这里的应用基本都是 app 里＂我的＂页面里各种红包抽奖诱导引导的．然后哪天你不小心误点了，就会出现莫名其妙的点赞啥的．

[zqx]

移动联通这种没有业绩压力的垄断企业，不至于干这个吧，倒是新浪很可能

[OldCarMan]

@xiadong1994 也是。

@Mac 我也觉得很有可能，毕竟运营商也分很多级，另外如果内部员工搞鬼，也不一定知道，只能怀疑，但没证据。。。

@Zy143L 1.嗯嗯，听说过浏览器插件窃取 cookie，但还没听说过窃取微博的 cookie,另外我安装的大部分还是官方或者非常常见的插件； 2.嗯。不过这里个人有个猜想（不一定存在或者可行），虽然是 https，但毕竟人家是运营商，据我所知有一部分的 ssl 证书是放在 cdn 上的，如果运营商针对一些 cdn 服务商，再做一层 cdn 缓存呢（为什么要做呢？第一节省流量，第二跨运营商的链路好像需要收取网间费用）？那岂不是意味着运营商也能获取到相关证书。

@chnyuwen @zqx 哈哈，这不是我想出来的，是我搜出来的结果，而且也是微博点赞，说是运营商的锅，你可以自己搜一下。

@renothing 如果如你所说，那岂不是官方故意提供，毕竟这些都是官方提供的服务？

[sogwsc]

为了维持虚假的活跃度罢了
微博一堆的僵尸号
我经常在微博上搜索 特别特别多无意义重复的微博
比如你搜索“净化器”，就会有很多号发“真希望微博有个净化器。。。”后面跟不同的明星名字
而且很多我关注的号 长时间不用 也会变成发垃圾消息的账号
很难排除是官方的行为

[OldCarMan]

@sogwsc 嗯嗯，现在个人数据都分散在各个第三方平台，人家想怎么利用，我们也没办法，现在在国内，基本都没啥个人隐私了，基本在裸奔，说个题外话，有时我不是很明白，为啥 zf 不牵头搞一套个人信息的验证平台，然后所有第三方想要验证身份信息的，都接入这个平台，不要把个人信息提供给第三方平台，只有相关单位能查得到一个人的个人信息。这样，即使个人信息泄露，也知道在哪个环节泄露的。