速盘Speedpan上传用户数据，第三方百度网盘客户端是黑科技还是黑产？

使用百度网盘的小伙伴肯定都知道一些第三方的客户端，像速盘Speedpan、PanDownload等都是比较知名的产品，因为官方版的百度网盘客户端会限制普通用户的下载速度，逼着普通用户冲钱成为会员，所以第三方百度网盘客户端业都打着不限速的黑科技旗号进行宣传。

那么，到底第三方百度网盘客户端是黑科技还是黑产呢？Laomoit.com

吾爱论坛的“左右1906”为大家提供了一份关于速盘Speedpan上传用户数据的分析，以下为原文：

分析“速盘-speedpan”上传用户数据

速盘是一个知名的百度网盘下载工具了，几乎是无人不知，但是今天我发现速盘在打开、下载分享链接的过程中涉嫌上传登录的百度网盘账号cookie数据，以下是分析全过程。首先下载速盘工具(下载地址速盘官网：http://www.speedpan.com)并打开打开速盘下载工具，看到其告知需要登录才能下载：

于是登录了百度网盘账号，并使用了里面的分享并下载方式：

在这时打开了抓包软件，抓取奇数据包，在数据包中，发现在一堆像百度请求的包含一个向速盘自有域名(api.speedpan.com)发送的数据包，而数据包中发送的内容却包括在速盘登录的账号的cookie数据：Laomoit.com

而通过截图可以看到，在发送的cookie中，包含登录账号的BDUSS数据，这是百度账号验证的一个重要凭证，而这一凭证被速盘工具直接在后台上传到了速盘服务器中，凭借这个，速盘服务器端完全可以在无需账号密码的情况下任意登录任何使用过“分享并下载”用户的百度网盘账号，甚至由于百度各个旗下产品公用统一的SSO（单点登录）进行登录，所以速盘服务器端甚至可能可以登录其他百度产品（如：百度贴吧，百度知道……）。

以上是分析全过程，希望使用速盘的朋友予以重视，修改百度账号密码，尽量不要使用像速盘这样的第三方工具，保证账号安全。Laomoit.com

-----------------------------------
文件名称：speedpan_1.9.13.7z
样本下载：https://pan.baidu.com/s/1NfRZSQ9wcZ-WpWPOLXLawA 提取码: vxry
备份下载：https://yunpan.360.cn/surl_yFAJsgcxkrSLaomoit.com
解压密码：52pojie

老殁小议

关于第三方百度网盘客户端，老殁也一直持观望态度，数据无价，把自己的帐号交给非官方的第三方必然是存在一定风险，像Speedpan和PanDownload这样的百度网盘第三方客户端并不是个例，其他类型的像第三方修改的手机QQ客户端（比如Tmore曾出现用户数据泄漏等问题）也存在盗取用户帐号密码的风险，至于第三方的辩解，我们也应该做到心里有数，没人会承认自己作恶，仁者见仁智者见智，萝卜青菜各有所爱，大家自己注意吧。

欢迎留言评论，文中涉及厂商不要跟我白费口舌，一律不看不回应，吃鸡忙，没时间。

老殁忠告：资源具有时效性，时间久了可能会失效，虚拟资源可复制，一经售出概不退，请深思后再确认下载

🐧 Q Q 群

💌 失效反馈

♻️ 账号权限

👍 点赞支持

发表评论

账号权限在注册前已写明

yeafine 162.158.89.201 Win10+ Chrome 63.0.3239.26 登录以回复 Δ21楼 2019-02-21 13:23:04

转自52论坛软件作者的1月21日回复：因为这个分析发现了一个疏忽的地方：访问网络的函数是百度云对象的成员函数，而cookie是对象的属性之一，每次访问网络都会设置cookie（如果已经登录），所以才会出现获取加速链接时设置了cookie，设置cookie和上传cookie是两回事，虽然技术上讲也可以提取。明天更新会加上判断，不需要cookie的地方不带cookie。速盘从诞生时起就提倡免登录下载，可以说免登录这个概念都是速盘提出的。因为一个代码上的疏忽导致速盘被黑，我深感无奈。如果对速盘有所怀疑，请不要使用速盘。我很懒，也很怕麻烦，所以这是第一次，也是最后一次主动澄清，明天会更新一下，修复这个问题。喜欢恶意揣测的，黑子们请随意。
美妙人生 162.158.93.251 Win10+ Chrome 71.0.3578.98 登录以回复 Δ22楼 2019-02-15 19:22:53

默默关注好久了，搬运别人的什么的也就算了，一直不想说什么，这次52的水印都不去，直接加自己的水印，呵呵。。。
- 槾 108.162.215.6 Win10+ Chrome 71.0.3578.98 登录以回复 ∇地下1层 2019-02-17 12:06:56
  
  吾爱论坛的“左右1906”为大家提供了一份关于速盘Speedpan上传用户数据的分析，以下为原文：自己睁大眼睛看看，老殁可没说是自己写的。
  - 武藤 162.158.59.120 Win10+ Chrome 69.0.3497.100 登录以回复 ∇地下2层 2019-02-18 15:01:16
    
    哈哈，不用和傻X较劲，容易被他把智商拉到地平线以下，与其和狗讲道理，不如放狗一条生路，别和狗抢道，让狗先过不丢人。
- 花想容 108.162.215.204 Win10+ Firefox 54.0 登录以回复 ∇地下1层 2019-02-20 13:49:43
  
  拜托你看完了文章在BB，内容不知道还来说三道四，这样就不好了！
- 咩 162.158.89.249 Win10+ Chrome 71.0.3578.98 登录以回复 ∇地下1层 2019-02-21 21:37:35
  
  关注这么久也没解决你眼瞎的毛病啊？
大 162.158.94.22 Win10+ Chrome 57.0.2987.98 登录以回复 Δ23楼 2019-02-15 10:25:02

有cookie可以直接模拟账户啊速盘这确实不讲究了这个百度没法背锅的..
山上石 172.69.33.205 Win10+ Chrome 69.0.3497.100 登录以回复 Δ24楼 2019-02-15 0:21:11

不是更新了么？
Steven.Wong 162.158.91.55 Win10+ Firefox 65.0 登录以回复 Δ25楼 2019-02-14 21:57:46

感觉似的。所以现在还是老老实实百度网盘客户端。讲真，虽然暂时没钱买会员，总归相对安心一些。或者不使用登陆的工具我也可以接受。。。。众说纷纭，你不研究下还真不太敢用 ……