没想到信息泄露就在我身边？一个图包种子引发的怀疑

两个路人 · 发表于 2024-1-14 23:35

本帖最后由两个路人于 2024-1-14 23:39 编辑

TLDR / 太长不看，一句话总结：我准备请基友帮忙用BT分流个图包，没想到还没外传，就被人给截流进来下载了

------------
事发经过

1. 我有个年度整合图包，但是因为网络问题，我没法上传进自己的SEEDBOX。就请有公网的基友，用他的服务器帮忙分个流

2. 我用了来自423XXXXXX的QQ修改绿色版，版本号9.7.11.29088；基友用的是企鹅的TIM官方版

3. 因为我懒的找基友QQ号，直接把生成的种子文件上传到了贴图群。这个群只有我和基友，以及一些腾讯的机器人（什么热议小助手之流），一般就是用来随手贴一些看到的奇奇怪怪的图

4. 基友从群里拉了种子，开始BT下载。虽然我们同城，然而NAT网络神威，2天都没连上

5. 于是我们就用QQ直传了图包文件夹

6. 基友收到了文件，HASH了一遍，没有问题开始做种

7. 基友说连上了我的SEEDBOX，还截图吐槽说：你的BOX是不是走了CDN，怎么有多个连接进来（见文末图1）

8. 我回击道：要是我用了CDN，自己早传上去了。于是就借了道，登录上去看了一眼（见文末图2）

9. 好家伙，这几个IP一看就不是什么连上来做DHT信息交换的，分明就是有了种子或者磁链进来下载文件的呀

----------
事故应对 & 分析

当即停了种子；把QQ号密码改了，删了绿色版，从企鹅家拉回了官版；在基友一端，重新做了个种子文件，用base64加密了磁链，用QQ传了回来。新链接传输中，尚未发现第三方连接

趴地上寻思了一下，大约有这么些可以漏出去的地方：

1. 我家机子或者基友机子或者 SEEDBOX 有至少一台被木马了，并且正巧被路过的赛博老哥赏玩了一番
2. 绿色版QQ 以及/或者基友的TIM 有某些神奇的功能，会随机截取一些神奇的东西，传给修改者。就像当年putty汉化版 / 迅雷Xcode那事儿一样
3. 群里空降了某个神秘人物，直接拿走了种子。因为我们看了一眼QQ群里发的那个种子，下载数显示为2……
4. 我们成功引起了某个路过的假面骑士的注意，直接就把我们的信息给截流了，并希望下载后加以分析

图片1

图片2

ls2021 · 发表于 2024-1-16 15:17

两个路人发表于 2024-1-15 20:13
我还是有个疑惑，如果是探针这种东西，有必要真的来拖数据吗？在停止前，这几个IP可真的拖了百来兆的东西… ...

不拖数据怎么分析呢？
而且几百MB算不了什么，你也不知道那些探针来了几次，对吧。一次下载起码就要下十几MB，连接和断开又要时间，网速快点的话一次连接可能就传输了上百MB

Misono_Mayu · 发表于 2024-1-15 23:16

两个路人发表于 2024-1-15 20:13
我还是有个疑惑，如果是探针这种东西，有必要真的来拖数据吗？在停止前，这几个IP可真的拖了百来兆的东西… ...

需要，很多聊天软件有类似功能，比如你放了链接在qq上，其实qq会访问一次网页获取其中的header和信息

之前有人遇到过类似事情

goranger · 发表于 2024-1-15 22:25

我觉得是你seedbox没设置好，别人刷流把你种子也刷了

两个路人 · 发表于 2024-1-15 20:13

我还是有个疑惑，如果是探针这种东西，有必要真的来拖数据吗？在停止前，这几个IP可真的拖了百来兆的东西… 以理性来考虑，网上每天那么多hash的东西传来传去，不会真就摸奖随机抽的吧？

schneehertz · 发表于 2024-1-15 08:17

“我用的xxxQQ修改版”
QQ改版放木马是常规操作，要是忍不了腾讯那坨屎你就别用了吧

浅仓透透 · 发表于 2024-1-15 07:37

当你用笔记本下载游戏的时候，如果同局域网的另一个笔记本有这个游戏，那么就可以跑满内网

这几乎是目前所有这种软件的基础功能

BRRM · 发表于 2024-1-15 06:04

本帖最后由 BRRM 于 2024-1-15 06:07 编辑

怀疑别人窃听，还不如去怀疑bt客户端。别人连上你的种子实际上只需要一个hash值和一个文件名就够了，加起来连50字节都不要，bt客户端随便广播一下就行了。

咲月露娜 · 发表于 2024-1-15 06:02

私聊吧，别拉群，群是公共空间，不管你几个人，监管更严格

真草稚京 · 发表于 2024-1-15 03:39

用bt分享被嗅探我觉得挺正常

当然你要是怀疑qq泄露那就别用绿色版

老老实实用官方版

另外经过qq传输的种子列表

被中转服务器嗅探bt内容也挺正常

—— 来自 Xiaomi 2210132C, Android 14上的 S1Next-鹅版 v2.5.4

Realplayer · 发表于 2024-1-15 00:10

《我用了来自423XXXXXX的QQ修改绿色版》

ls2021 · 发表于 2024-1-14 23:57

运营商那边好像有自动嗅探bt/pt的探针，再就是群聊本身就会嗅探bt种子
不稀奇，很多地方都有。说个比较简单的目的，就是区分一下bt/pt和pcdn、被挂马
你添加了一些第三方tracker的话，也可能连接了探针，也不稀奇
bt和pt本身就没多少匿名性可言，它只是不需要验证上来就可以连接

ashunicorn · 发表于 2024-1-14 23:50

理论上来说423要你这个也没啥意义……虽然重新打包的修改版QQ确实不大安全，但是架不住TX自己也喜欢上传

		自动登录	找回密码
密码			立即注册

[网络] 没想到信息泄露就在我身边？一个图包种子引发的怀疑