通过网易云音乐分享链接找到分享用户主页

[ufan0]

曾经网易云音乐的音乐分享链接携带了用户明文 id ，可以直接通过拼接网址得到用户主页。

前天发现网易云音乐似乎为这个举措在安全层面下了功夫加固了数据，好歹终于不是明文，研究一番下来发现却也和明文差不多，做了个工具直接直接解析用户主页，比较粗糙，仅仅能用而已，有需要的自取。

https://findneteasecloudmusicuser.nclgclub.com/

more: 作为非安全专业的同学也很想吐槽一下网易云音乐的用户 id 加密设计，出发点是好的，但是用点心噻。 这是一个拍拍脑袋就知道不合适的设计，代码 review 竟然也能过。不如给我个面试机让我试试。

[ufan0]

话说上大学的时候，和女神关系更进一步的助力便是从她朋友圈得到了她的网易云音乐账号主页地址，分析她的音乐喜好......

最后的结果就是和女神一起去各种音乐节啦～

那时候还没有疫情，回忆满满都是美好～

[regent]

谢谢，qq 音乐的也类似吗？能否也加入 qq 音乐的分析功能

[cydysm]

这个从一开始到现在就是这样

[ufan0]

@regent QQ 音乐没怎么用，sorry ，有机会我看看。

[ufan0]

@cydysm 不是这样的，可以仔细对比看看，当前分享链接中是没有 userId 的。

[thinking80]

桌面 wx 获取的是纯歌曲链接，op 是如何解析朋友圈分享的？

[fortree]

网易云音乐中，自己账号记录有某首歌的留评记录，但该首歌可能因为没版权原因下架了，还根据评论页回查该歌的歌名吗？这样可以去其他平台播放

[ufan0]

@thinking80 #6 本质上其都只是同样的 url ，朋友圈你的你可以尝试转发至聊天窗口，打开后复制地址可以验证我说的场景。这个在工具页面也有提示的。

[ufan0]

@fortree #7 抱歉，我没有经历过这样的场景，暂时帮不到你了。

[falsemask]

想知道 op 的研究过程，不知道方不方便透露

[cydysm]

@ufan0 哦哦 确实 好久没用网易云音乐了 不过没记错的话一开始就带 userid

[ufan0]

@cydysm #11 你说的没错，确实是这样。


@falsemask #10 分享多首音乐的链接，观察后发现 url 新增了一个曾经不存在的参数，并且对于同账号该值为不变，猜测这是用来定位用户的，urldecode 后推测加密类型，估计不会是非对称加密，想验证下自己的想法，看看大厂程序员会怎么处理这个逻辑。

一顿捯饬花了挺久的，发现确实是对称加密，就有了这个工具。

[falsemask]

@ufan0 这个我以前也发现过，最早是 userid 参数，后来是 uct 参数，我以为会服务端加密或者单向 hash

[regent]

@ufan0 谢谢！

[thinking80]

@ufan0 可能是 wx 版本不一样，实测是添加进收藏后再转发出去能获取到所需 url 。好工具，已分享！蟹蟹

[ufan0]

@thinking80 #15 是的，新版微信无论是 android 端还是 iOS 端都有这个问题，收藏+转发可见 url ，更加暴力的做法便是直接在桌面端微信查看。

谢谢你的认可，希望能帮到你。

[thinking80]

@ufan0 op ，上面的网站进不去了

[ufan0]

@thinking80 #17 昨天 cpu 被打满了，一堆 post 请求，晚上一直在告警。

担心机器被封，我先调整下 Nginx 配置。

不知是哪位长老显了神通。

[thinking80]

@ufan0 soga ，我昨天推了一下，刚刚上去看了下超过 2000 人收藏关注了，op 的工具深得女性用户的喜爱啊

[ufan0]

@thinking80 #19 感谢，想请问下指的是 Twitter 吗？有没有地址可以围观看下。

现在看 nginx 日志还是有打向这个网址的无效请求，难搞。