Realme 系统疑似在后台偷传应用列表？

[superrichman]

手机是 realme 系统。早上用 burp 抓包测试 app 的时候，无意中发现有请求在后台传应用列表。数据自己看图吧。发送的地址是 `https://api.open.oppomobile.com/security/app-summarys/type` 应该是发到 oppo 的服务器了。从 url 判断也许是安全相关功能。包的内容就是手机上装的应用的包名。

中午尝试用 adb 把所有系统自带的安全相关 app 都删掉。下午重启手机又试了一下，还会往外发这个数据包。



所以这个请求不是某个 app 发的，可能是 realme 系统跑了什么程序直接发到 oppo 服务器上的？

P.S. 上面的请求看上去很多，其实只有两个不一样的请求，每个都发了三四遍。。。是怕 http 请求届不到吗？。。。只有签名之类的数据不一样。目前暂时不知道请求是怎么触发的。

[danbai]

realme 是 oppo 子牌

[pengtdyd]

很奇怪吗？这不是潜规则嘛

[superrichman]

现在只想把这个上传给关了，不知道有没有什么简单有效的办法

[morty0]

换 iPhone

[hidemyself]

语音助手上传的吧

[k9982874]

楼主以为为啥国产手机这么便宜

[processzzp]

@superrichman 试试用用 hosts 文件或者 VPN 应用，把 api.open.oppomobile.com 这个域名拦截了？就是不知道会不会影响其他功能，比如来电归属地和骚扰电话拦截

[docx]

发包名到服务器检测？可能没装反诈也能收到电话就是这么来的

试着 host 到 127.0.0.1 ？

[miaomiao888]

@k9982874 事实上也并不便宜

[calano]

@k9982874 这跟便宜有啥关系

[janus77]

国产系统是这样的，ubuntu 都会上传东西，oppo 算什么

[liuidetmks]

苹果也传好像

[goodhellonice]

看来安卓机还是得刷机。。。

[AlphaTauriHonda]

不要用有中国背景的系统，Android 只能换 AOSP 用。如果用中国公司的手机，这类数据和隐私是完全没有办法保障的。

简单的方法就是碰都不要碰，买到只能换成 AOSP 。

[Buges]

@AlphaTauriHonda 强调一下基于 AOSP 的 FOSS ROM 也需要包含厂商提供的 vendor blob ，最保险的还是买 pixel 机。
当然，应用列表这种东西 Google 也会上传（ play protect ），微信等应用也会上传（不过现在高版本 target API 无法获取全部 app ）。
一般来说安装的应用列表不算隐私，Linux 发行版也有 pkgstat 。但要考虑威胁模型，你可能不希望某些特定机构知道你在使用某些可能会导致你 jailed 东西。

[AlphaTauriHonda]

@Buges 是，就算是刷 AOSP 也不会把作为驱动的 Vendor Blobs 删掉，换成开源的驱动。
估计大部分手机的中国版和国际版 ROM 的 Vendor Blobs 没有区别，除非用不同的硬件。
要是有区别那应该是为了让你换成 AOSP 也要想办法搞你的隐私了。

[AlphaTauriHonda]

@Buges 没办法，刷 AOSP 起码安全一点。实在不行换成 AOSP 再重复原来的方法看看还会不会连接 oppo 的服务器，上传隐私。

[AlphaTauriHonda]

看了一下 api.open.oppomobile.com 的 DNS 解析。
全世界都是上传到北京的 oppo 服务器，除了印度。先换成基于 AOSP 的系统再看情况有没有改善吧。

[shyrock]

@goodhellonice #13 刷成啥 rom ？除了原生 android ，其他各种三方 rom 刷上去都是驱虎吞狼而已。。。

[learningman]

手机有 root 的话，netstat 看看是哪个 pid 发的试试