拼多多是怎么做到分享的助力链接域名不是自己的呢？

[xiaodongxier]

经常收到朋友发的拼多多助力，无意间发现一个问题，就是拼多多是怎么做到分享的助力链接域名不是自己的呢？

1. https://surl.amap.com/mxNiRlg1d3z
2. https://cc.10010.com/cs/ccc/online/sns/api/view/a61317f05a9e4171986bb845ab4922ce

比如：
上面的第 1 个链接，域名是高德地图的
上面的第 2 个链接，域名是联通营业厅的

[Twnysta]

就是各大云服务的图片，最后才会跳转到拼夕夕自己

[123go]

@Exdui #4 为什么一定要用链接呢 直接一段密文不就行了

[imNull]

@123go 引导用户点击查看如何使用

[jelinet]

哈哈哈哈，pdd 太骚了

[Exdui]

@123go #122 之前的口令就属于一段密文，现在都被微信屏蔽得很难用、很难复制。

[Lamlam147]

前段时间看到一个 url.cloud.huawei.com 的域名，当时还以为华为云提供了跳转服务

[dirtydeeds]

这也行，厉害厉害

[weeei]

cc.10010.com 是联通的在线客服服务，我觉得它可能是给机器人客服发了图片，然后拿到图片链接了。

[imtony]

“令人发指

[LuoboTixS]

够野。够卷。这就是 Growth Hacking 吗，爱了爱了

[js8510]

我想知道最先想出这个点子的大哥 年底拿了多少奖金

[pytth]

@zml 跨站脚本算入侵，这种操作很多黑产都这么玩。前段时间我就拿到黑产的一个案例来做技术分析，得出的结果刚好就是与拼多多目前的操作相似。原理也很简单，用 Burp Suite 进行抓包并且中途修改请求参数来将 html 伪造成图片来上传就可以注入到服务器。

[Mzs]

今天面试 pdd 问了句 说自己的 不是高德的😂 具体没和我说

[dtdths1]

属实玩明白了

[flashpython]

@yuzo555 现在来看，我说是官方的问题，没问题吧？