发现在微信发的每一个链接都会被腾讯访问一下

链接

微信

私聊

请求

94 条回复 2022-08-19 11:57:21 +08:00

1

acapla

2022-07-12 11:40:20 +08:00

10

如果链接是强外，它能自带番强去访问吗？

2

molika

OP

2022-07-12 11:43:27 +08:00

@acapla 好问题!

3

hua123s

2022-07-12 11:45:18 +08:00

2

你是分享卡片式链接，还是文本链接。卡片式微信至少要读取 opengraph meta tags ，你觉得是谁可笑？

4

learningman

2022-07-12 11:49:01 +08:00 via Android

tg 打开了 live preview 也会读

5

molika

OP

2022-07-12 11:49:29 +08:00

@hua123s 文本链接

6

molika

OP

2022-07-12 11:50:14 +08:00

@hua123s 没有觉得谁可笑,我发的是文本链接 https://xxxxxx 这种

7

molika

OP

2022-07-12 11:51:04 +08:00

@learningman 微信好像没有 live preview 开关选项直接走一遍

8

zhangzEric

2022-07-12 11:52:57 +08:00

1

这个可以理解，微信有屏蔽外链的功能，比如某个推广链接被很多人分享了，用户去点击的话，他会有个中间页面拦截下来，估计就是在这之前做好了标记吧

9

eason1874

2022-07-12 11:54:03 +08:00

可以确定的：无论是在群聊、私聊、文件传输助手，无论是分享卡片链接还是纯文本链接，都会爬一遍

暂时存疑的：有人说在微信群发送的内部测试安装包的内部 API ，也被访问了，不知是自动安装测试还是人工测试

10

feitxue

2022-07-12 11:56:56 +08:00

72

不夸张。印象非常深刻，让我搞了一下午。早就踩过这个坑了。。。
测试微信支付的时候有遇到过。
有个每次调起支付的唯一流水号，pc 微信发到手机微信去测试。
莫名其妙就是流水号已使用。
后来发现，只要通过微信发送 url ，微信就会访问一次，让我的流水号失效。

11

nightwitch

2022-07-12 11:59:35 +08:00 via Android

如果没有监管要求谁愿意花流量去爬一

12

molika

OP

2022-07-12 12:00:34 +08:00

@zhangzEric 我一直觉得那个页面是点开链接后动态处理的.不是预热的

13

molika

OP

2022-07-12 12:00:55 +08:00

@eason1874 api 这个就夸张了!!!

14

molika

OP

2022-07-12 12:01:16 +08:00

@feitxue 我也遇到了所以测试了下!!!

15

playtomandjerry

2022-07-12 12:21:51 +08:00 via iPhone

@acapla 好问题，运营商访问境外网站叫番强吗
@acapla

16

yousabuk

2022-07-12 12:44:03 +08:00 via iPhone

1

如果是预加载的，那过个半个小时再修改成黄赌毒？

17

zhuweiyou

2022-07-12 12:52:43 +08:00

1

用 POST 处理业务. 盲猜它只会 GET 吧?

18

MonoLogueChi

2022-07-12 12:55:58 +08:00 via Android

微信会主动访问的

19

hua123s

2022-07-12 13:09:21 +08:00

@molika 是意想不到的离谱...

20

keepeye

2022-07-12 13:11:46 +08:00

我记得是点击链接后会检查网页内容，现在只要收到就会访问？

21

Juszoe

2022-07-12 13:13:56 +08:00

@acapla #1 腾讯有向运营商申请信道的，内部员工网络可以直连谷歌油管之类的

22

shijingshijing

2022-07-12 13:23:18 +08:00

正常操作了，没必要大惊小怪。不喜欢最好的方法就是尽量不用威信。

23

cwyalpha

2022-07-12 13:26:02 +08:00 via iPhone

Mozilla/5.0 (Linux; Android 0; MIX 2S Build/QKQ1.190828.002; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/66.0.3359.126 MQQBrowser/6.2 TBS/045129 Mobile Safari/537.36 MMWEBID/5228 MicroMessenger/7.0.14.1660(0x27000E37) Process/tools NetType/WIFI Language/zh_CN ABI/arm64 WeChat/arm64 wechatdevtools

24

wu67

2022-07-12 13:56:17 +08:00

2

随便吧, 反正暂时也不会发什么敏感信息. 不过公司做那些号称安全性和保密性的项目经常用微信和 qq 发文档, 倒是让我想笑.

25

ZE3kr

2022-07-12 14:05:20 +08:00 via iPhone

企业微信里发文本链接会尝试加载 Live Preview 。企业微信里的客户聊天和客户群也会这样。可能是微信最近想上这个功能，先拿企业微信测试

26

xiaoranj

2022-07-12 14:09:53 +08:00

1

那我感觉这个功能可以反过来给微信投毒？

27

SenLief

2022-07-12 14:12:32 +08:00

这个都用微信了，还想那么多干啥。敏感信息微信都会屏蔽，微信服务器可能能看到信息的，这已经是确定的事情。

28

NessajCN

2022-07-12 14:30:35 +08:00

既然知道了你就在服务器端屏蔽来自信的请求呗

29

horseInBlack

2022-07-12 14:33:41 +08:00 via Android

邮箱好像也有这个问题，不记得是不是 QQ 邮箱可，也是邮件里验证链接被访问导致链接失效

30

afirefish

2022-07-12 14:35:55 +08:00

QQ 发一个电影链接到 QQ 群里面（群里面只有 4 个人），电影 10 来 G ，QQ 一晚上干掉服务器接近 100G 的流量。

31

tooroot

2022-07-12 14:41:03 +08:00

@xiaoranj #26 gzip 炸弹试试？不过也看不到效果

32

dingwen07

2022-07-12 15:10:04 +08:00

23

好，加进我的 CF WAF 规则了

( http.user_agent contains "MicroMessenger") or ( http.user_agent contains "QBWebViewType") or ( http.user_agent contains "QQBrowser") or ( http.user_agent contains "UBrowser") or ( http.user_agent contains "360SE") or ( http.user_agent contains "360EE") or ( http.user_agent contains "MetaSr") or ( http.user_agent contains "HUAWEI") or ( http.user_agent contains "HarmonyOS") or ( http.user_agent contains "Maxthon") or ( http.user_agent contains "Sogou") or ( http.user_agent contains "LieBao") or ( http.user_agent contains "TIM") or ( http.user_agent contains "HONOR") or ( http.user_agent contains "wechatdevtools")

33

Routeros

2022-07-12 15:16:32 +08:00

2

@afirefish 我突然有一个大胆的想法

34

66beta

2022-07-12 15:22:15 +08:00

@dingwen07 牛逼啊兄弟，国籍都不要了呀

35

jiangzm

2022-0712 15:29:15 +08:00

@dingwen07 兄弟白名单访问更好

36

marcong95

2022-07-12 15:38:15 +08:00

「都会爬一遍」好像不一定，我刚无聊试了下，给朋友发了个自己的网站的链接，access log 里并没有出现 tx 访问的 log

37

zmqiang

2022-07-12 15:59:14 +08:00

会不会是在抓取信息，就像在 iMessage 里发一个链接，iMessage 会抓取页面的信息连同链接一起发过去

38

yankebupt

2022-07-12 16:16:01 +08:00

@66beta 不一定，说不定想多了，也许是屏蔽非付费用户，这些 agent 可能都不能直接付费或者有各种反诈懒得适配，就和各种小程序“请再点击一下在浏览器打开页面”一样……

39

liuidetmks

2022-07-12 16:29:04 +08:00

7

@nightwitch 别什么都甩给监管，他就是想控制你访问，顺便统计网站访问，进而知道网站流量，好提前投资 /控制有潜力 /威胁的公司

40

westoy

2022-07-12 16:38:58 +08:00

@feitxue

早年很多浏览器或者插件都有这种 prefetch 机制的，而且如果 id 是规律的话，其实还有可能被黑产挂 CS 攻击的

比较稳一点的操作是 get 之后通过 js 根据用户特征生成一个 token ，然后触发一个 post ，真正的业务写在 post 里

41

dingwen07

2022-07-12 16:58:10 +08:00 via iPhone

@66beta #34
@yankebupt #38

其实是为了防止域名被墙或者被识别为“危险链接”

42

yemuc

2022-07-12 17:29:35 +08:00

刚测试了一些好像并没有，不知道是什么情况下会触发这个机制

43

feitxue

2022-07-12 17:34:01 +08:00

@westoy 对的，之前只是测试的时候直接手动生成个带参数的链接来调试而已，调试 ok 后就不这样搞的。
正常流程不会出现的。

44

yemuc

2022-07-12 17:34:37 +08:00

@yemuc 我擦，有了。多了两条"Mozilla/5.0 (iPhone; CPU iPhone os 15_4 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/15.4 Mobile/11D257 Safari/604.1“

45

proxytoworld

2022-07-12 17:36:22 +08:00

未复现

46

dqzcwxb

2022-07-12 17:39:16 +08:00

qq 早就有了,发群里或者个人还能测试出是否在线甚至对方 ip

47

Blank10030

2022-07-12 17:48:36 +08:00

微信还会检测关键字呢，不是早就有了吗。

48

dongtingyue

2022-07-12 17:58:41 +08:00

是不是可以通过这种方式往群里发消息来刷访问量?

49

killerv

2022-07-12 18:02:43 +08:00

我觉得这个正常啊，在 tg 中发个 ph 的链接，不发起请求怎么拿到预览？

50

molika

OP

2022-07-12 18:06:08 +08:00 via iPhone

@marcong95 我几个域名都这样

51

MMMMMMMMMMMMMMMM

2022-07-12 18:24:52 +08:00

那岂不是你狂发油管或者 B 站视频的播放计数接口，他就狂增加播放量？

52

azhi2007

2022-07-12 18:33:30 +08:00

那么请教下高手，那个 d-chat 客户端 nMobile.apk 靠谱不。官方说是点对点加密，区块链技术不走服务器。

53

xingyuc

2022-07-12 18:43:48 +08:00

有个 110.weixin 的域名

54

molika

OP

2022-07-12 19:01:45 +08:00 via iPhone

@xingyuc 没懂

55

molika

OP

2022-07-12 19:02:12 +08:00 via iPhone

@MMMMMMMMMMMMMMMM 你可以试一试

56

xingyuc

2022-07-12 19:04:44 +08:00

@molika 啊所有被屏蔽的网站和文章最后都被重定向到这里，说明他肯定会访问不然怎么屏蔽

57

hst001

2022-07-12 20:03:33 +08:00

3

瞎猜一下，我觉得更多的只是把你手机当成免费代理池去访问一个页面，然后客户端判断页面是否有风险或违规内容，有的话就上报到他们的服务器进一步判断，没有的话就不管了。

58

wangyu17455

2022-07-12 20:24:17 +08:00

老漏洞了，之前 qq 可以发卡片获取对方 ip 利用的就是这一点，但这到底是漏洞还是特性真不是很好说

59

HaneRo

2022-07-12 20:25:53 +08:00 via Android

能否利用这个特性预热 CDN ？

60

Chaidu

2022-07-12 20:40:10 +08:00

@hst001 #57 你猜错了
1.13.140.89 - - [12/Jul/2022:12:30:59 +0000] "GET / HTTP/1.1" 200 1810 "-" "Mozilla/5.0 (iPhone; CPU iPhone os 15_4 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/15.4 Mobile/11D257 Safari/604.1

1.13.140.89 - 中国江苏省南京市腾讯云

61

watzds

2022-07-12 20:41:44 +08:00

这不是风控检测链接内容嘛

62

molika

OP

2022-07-12 20:42:09 +08:00 via iPhone

@xingyuc 我觉得这个是点击的时候判断的

63

SorcererXW

2022-07-12 21:55:39 +08:00

我理解应该是为了避免这个链接本身做跳转
比如发了 xxxx.cn/123 ，访问它就会重定向到某个非法网站, 不去访问一下咋知道是否应该屏蔽？

64

abc8678

2022-07-12 22:13:28 +08:00 via Android

@molika @acapla 多年前听说新疆打不开百度云的分享链接。听完之后我马上打开百度搜，看到百度经验有一篇教程:打开 QQ 、把链接放进去、用内置浏览器访问(那个地址是深圳的)

65

r4aAi04Uk2gYWU89

2022-07-12 22:44:45 +08:00

钉钉发链接，会预加载部分内容生成卡片，不管对方看没看，已经访问了

66

collery

2022-07-12 23:01:52 +08:00

发个请求不就知道了

67

jim9606

2022-07-12 23:55:59 +08:00

1

有很合理的理由这么做。
微信里的链接只能是 GET 请求，GET 要求幂等性，被反复访问不应该有副作用。
所以基于这个定义生成 preview ，显示 favicon ，执行 hyperlink auditing 以及风险链接检测都是符合 HTTP 语义的。
你如果想避免这个，应该考虑二次跳转，用 AJAX 发 POST 请求跳转。

68

xiang0818

2022-07-13 08:32:44 +08:00

@acapla 大厂都可以直接访问外网，你们不会不知道吧。

69

StephenHe

2022-07-13 09:01:58 +08:00

记得上次有个 op ，微信号有拼音骂张小龙被封号了

70

raycheung

2022-07-13 09:21:55 +08:00

钉钉也有这个问题的，好像是为了取得缩略图或者链接转化，原理没研究过

71

molika

OP

2022-07-13 09:40:16 +08:00 via iPhone

@jim9606 但是发普通文本链接并没有略缩图

/tr>

72

mxT52CRuqR6o5

2022-07-13 09:41:55 +08:00 via Android

@jim9606
幂等的 GET 请求怎么做观看次数这种功能

73

haikea

2022-07-13 09:46:31 +08:00

@feitxue 又被笑到

74

ColdBird

2022-07-13 09:54:50 +08:00

@raycheung 爬网页 html 里的 og tag

75

ColdBird

2022-07-13 09:56:27 +08:00

@molika 有没有缩略图取决于你发的网站有没有去做 og tag ，跟 vx 是不是去爬数据没关系。你在 WhatsApp 、推特、Facebook 这种地方分享链接，也都是会爬网站的

76

raycheung

2022-07-13 09:58:10 +08:00

@ColdBird #74 全称是 Open Graph Meta Tags ？

77

ColdBird

2022-07-13 10:08:18 +08:00

@raycheung 对的

78

IslandOwnerHuang

2022-07-13 10:17:29 +08:00

@shijingshijing 虽然但是，在国内完全不用微信的可能性无限接近于零

79

mytsing520

PRO

2022-07-13 11:06:03 +08:00

@dingwen07 微信内置浏览器也携带了 MicroMessenger 这个 UA

@Juszoe 在微信里发链接，访问的请求，国内服务器上专门观察了一下，主要从上海电信 IDC 的 IP 发起访问

80

acapla

2022-07-13 12:12:52 +08:00

@xiang0818 真的不知道。。

81

molika

OP

2022-07-13 12:25:40 +08:00 via iPhone

@ColdBird 我说的是微信不回讲文本链接向 tg 那样出来标签简介那种

82

laqow

2022-07-13 12:56:05 +08:00

@nightwitch 不想当将军的士兵不是好士兵

83

peasant

2022-07-13 13:35:51 +08:00

这个几年前就有了吧，以前微信发视频压缩的厉害，我就丢服务器上用 http 链接分享给群友，发出去没多久就能看到好几个腾讯的 IP 访问过链接，ua 也不正常

84

Marionic0723

2022-07-13 21:17:51 +08:00 via Android

怪不得我一开服务器，就蹦出上海电信

85

ellermister

2022-07-13 22:09:30 +08:00 via Android

https://github.com/ellermister/shorturl
开源 php 短链接程序，专治蜘蛛审查访问。

86

xx3122

2022-07-13 22:44:44 +08:00

微信开发者工具的 UA

87

xx3122

2022-07-13 22:54:54 +08:00

@ellermister 怎么治的啊

88

jim9606

2022-07-13 23:09:31 +08:00

@mxT52CRuqR6o5 这里的幂等是指语义而已，并不要求响应完全相同。例如允许重复请求或者使用缓存。直接拿包含包含旧访问计数的缓存结果作为响应而不会破坏应用功能，重复访问不会导致多次计费等。

89

guxin0123

2022-07-14 11:30:19 +08:00

@abc8678 百度仅判断 IP 和 UA
Chrome F12 模拟手机 UA 也是可以访问的
有可能是内置浏览器 UA 不同

90

ellermister

2022-07-14 17:41:55 +08:00

@xx3122 短链接平台跳转，机器人探测不到实际内容。

t/722194

91

Snorlax426

2022-07-15 20:00:55 +08:00

```

92

Snorlax426

2022-07-15 20:02:08 +08:00

nginx 相关配置:
if ($http_user_agent ~* "MicroMessenger|QBWebViewType|QQBroswer|UBrowser|360SE|360EE|MetaSr|HUAWEI|HarmonyOS|Maxthon|Sogou|LieBao|TIM|HONOR|wechatdevtools|CensysInspect|qihoobot|Baiduspider|Googlebot|Googlebot-Mobile|Googlebot-Image|Mediapartners-Google|Adsbot-Google|Feedfetcher-Google|Yahoo! Slurp|Yahoo! Slurp China|YoudaoBot|Sosospider|Sogou spider|Sogou web spider|MSNBot|ia_archiver|Tomato Bot"){
return 403;
}

(按到回车才发现 V2EX 不支持 markdown)

93

zbinlin

2022-07-20 10:38:31 +08:00

我在开发使用微信扫码支付时发现了微信会自己去访问二维码的链接，一般是在扫码后半小时后，IP 归属地显示不像是什么腾讯云的，倒像是普通宽带的，UA 是一般的微信内置的浏览器 UA （没有包含 wechatdevtools ）。

94

ju0594

2022-08-19 11:57:21 +08:00

我今天发现的来自一个 IP 61.151.206.18 应该还有其它 IP 和 UA

Mozilla/5.0 (iPhone; CPU iPhone OS 10_2_1 like Mac OS X) AppleWebKit/602.4.6 (KHTML, like Gecko) Mobile/14D27 MicroMessenger/6.5.5 NetType/WIFI Language/zh_CN

Mozilla/5.0 (Linux; Android 4.4.4; Coolpad Y82-520 Build/KTU84P) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/33.0.0.0 Mobile Safari/537.36 MicroMessenger/6.5.4.1000 NetType/4G Language/zh_CN

Mozilla/5.0 (Linux; Android 5.1.1; SM801 Build/LMY47V; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/53.0.2785.49 Mobile MQQBrowser/6.2 TBS/043024 Safari/537.36 MicroMessenger/6.5.4.1000 NetType/4G Language/zh_CN

Mozilla/5.0 (Linux; Android 4.4.4; HUAWEI ALE-CL00 Build/HuaweiALE-CL00; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/53.0.2785.49 Mobile MQQBrowser/6.2 TBS/043024 Safari/537.36 MicroMessenger/6.5.4.1000 NetType/4G Language/zh_CN

Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/39.0.2171.95 Safari/537.36 MicroMessenger/6.5.2.501 NetType/WIFI WindowsWechat QBCore/3.43.27.400 QQBrowser/9.0.2524.400

Mozilla/5.0 (Linux; Android 5.1.1; SM801 Build/LMY47V; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/53.0.2785.49 Mobile MQQBrowser/6.2 TBS/043024 Safari/537.36 MicroMessenger/6.5.4.1000 NetType/4G Language/zh_CN

Mozilla/5.0 (Linux; Android 6.0.1; OPPO R9s Build/MMB29M) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/37.0.0.0 Mobile MQQBrowser/6.9 TBS/036906 Safari/537.36 MicroMessenger/6.5.4.1000 NetType/4G Language/zh_CN