V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
v2gg
V2EX  ›  程序员

滴滴 iOS 客户端计价详细页面奇怪地含有一 32 字符的字符串

  v2gg ·
GalvinGao · 2021-04-27 18:40:30 +08:00 · 21341 次点击
这是一个创建于 1066 天前的主题,其中的信息可能已经有所发展或是发生改变。

为保证问题表述尽可能中立,措辞可能比较怪异,语言表达水平有限请见谅

在滴滴 iOS 客户端的计价详细页面(输入起始、终点后,点击价格旁的 (i) 信息按钮即可展开此页面。

原图

https://i.v2ex.co/pWPmRL2vl.png

由于字体颜色与背景颜色对比极小,肉眼常规条件较难发现。将曝光值拉低、对比度值拉高后,字符清晰可见。

https://i.v2ex.co/7ChcXSpyl.jpeg

不做猜测,留给大家讨论。

第 1 条附言  ·  2021-04-28 13:33:59 +08:00

#94 @Astrian 4.28中午表示,滴滴已将这部分内容去除 亲测为真

https://i.v2ex.co/tytwmip3.jpeg

第 2 条附言  ·  2021-04-28 13:36:46 +08:00
PS: 之前的两张图可能不太清晰,直接点击图片嵌入了 V2EX 图床里的图片。下面补两个高清的链接(还是原来的图,v2 的图床 id 是一致的,只是去掉了缩略图后缀表示原图)

原图



经处理

139 条回复    2021-07-04 21:17:07 +08:00
1  2  
GM
    1
GM  
   2021-04-27 18:49:57 +08:00
tracingId 吧,我猜测的。

理论上来说,有了这个东西,DD 可以追踪所有发了他们 app 截图的人。

/寒战 zZzzzz
SingeeKing
    2
SingeeKing  
   2021-04-27 18:50:30 +08:00 via iPhone   ❤️ 6
友善的猜测下,有人拿着俩截图找滴滴客服,滴滴客服可以通过 id 追溯到价格是怎么计算出来的并告知
yakumo520
    3
yakumo520  
   2021-04-27 18:50:43 +08:00
数据 id 吧,方便测试或者调试留的后门?
ahsjs
    4
ahsjs  
   2021-04-27 18:56:54 +08:00
厉害了,这肉眼能看到。
dLvsYgJ8fiP8TGYU
    5
dLvsYgJ8fiP8TGYU  
   2021-04-27 19:00:38 +08:00   ❤️ 2
https://imgur.com/ZrkbDa3
https://imgur.com/uoMH0V0

搞不懂把一串意义不明的字符串放到价格界面是想干什么?
假如用户把价格截图发给朋友,方便追踪然后滥用”大数据”搞些事情吗?

https://imgur.com/R3d72he
还有你滴滴怎么把服务器塞进我家里局域网里面的?出来教教我呗
dallaslu
    6
dallaslu  
   2021-04-27 19:01:07 +08:00
你已经暴露了!
dLvsYgJ8fiP8TGYU
    7
dLvsYgJ8fiP8TGYU  
   2021-04-27 19:03:36 +08:00   ❤️ 1
@dLvsYgJ8fiP8TGYU
[img][/img]
[img][/img]
[img][/img]
imnpc
    8
imnpc  
   2021-04-27 19:07:30 +08:00
水印追踪 ID
一般用于内部追踪 例如某些企业内部论坛 用水印抓到泄漏内部帖子的人

正常情况下 针对外部终端客户这种行为不允许的
因为客户操作的时候本来就会形成唯一追踪 ID
这种水印的使用目的就有点令人深思了

在欧盟抓到会巨额罚款 国内不清楚具体条文
dLvsYgJ8fiP8TGYU
    9
dLvsYgJ8fiP8TGYU  
   2021-04-27 19:14:57 +08:00
@imnpc
有海外手机的话可以测试一下,是不是只有 +86 手机号用户才有这个界面
halfdb
    10
halfdb  
   2021-04-27 19:16:49 +08:00 via Android
滴滴厉害啊,给用户打水印?如果是光明正大的用途就不能白底黑字显示出来吗?
Greatshu
    11
Greatshu  
   2021-04-27 19:20:27 +08:00   ❤️ 16
为了精准公关吧。把截图发到论坛吐槽滴滴收费,一小时内就被滴滴爬虫爬到,识别出是谁打的车,后台打标,以后多发一点优惠券,然后再视情况打电话公关,上门服务或者发律师函。
Maboroshii
    12
Maboroshii  
   2021-04-27 19:22:47 +08:00
涨见识了.... 以后都不敢随便截图分享了
或许需要一个截图工具自动调整颜色检查有没有水印
Jooooooooo
    13
Jooooooooo  
   2021-04-27 19:32:44 +08:00   ❤️ 3
用户截图说杀熟就可以拿这个来查价格具体是怎么算的, 方便解释.
wangxiaoaer
    14
wangxiaoaer  
   2021-04-27 19:38:57 +08:00   ❤️ 1
楼主你是怎么发现的,牛。
shiny
    15
shiny  
   2021-04-27 19:44:59 +08:00
如果把信息加密放在右侧的图标背景里,就没人能发现了
dLvsYgJ8fiP8TGYU
    16
dLvsYgJ8fiP8TGYU  
   2021-04-27 19:49:19 +08:00 via iPhone   ❤️ 17
@shiny 滴滴开发连夜在右边汽车图标内藏信息,通过车窗车门轮子等关键点坐标逆推 uuid
mxT52CRuqR6o5
    17
mxT52CRuqR6o5  
   2021-04-27 19:49:21 +08:00 via Android
试了下安卓端也有
dingdangnao
    18
dingdangnao  
   2021-04-27 19:49:31 +08:00
No.xxxxxx
大概像是订单号吧。。
方便 track you
lucybenz
    19
lucybenz  
   2021-04-27 20:24:29 +08:00
不够高明啊,应该把追踪信息隐藏在页面布局里,通过布局微调不显山不漏水的起到追踪作用
xing7673
    20
xing7673  
   2021-04-27 20:25:44 +08:00 via iPhone   ❤️ 4
好家伙,我知乎好家伙
楼主的眼睛哪里氪的我也想要一个
mabeple
    21
mabeple  
   2021-04-27 20:26:40 +08:00
还好不用客户端。。
aeli
    22
aeli  
   2021-04-27 20:28:03 +08:00   ❤️ 1
想出来这方法的产品经理也是胆子大到上天,能发现这个隐藏 id 的,眼神也是真好。
JensenQian
    23
JensenQian  
   2021-04-27 20:46:43 +08:00
还有这种操作
ziseyinzi
    24
ziseyinzi  
   2021-04-27 21:14:38 +08:00 via Android
那么问题来了,有没有通用的、自动的、能像杀毒软件帮我检测病毒一样帮我检测截图的隐形水印的工具呢?
ziseyinzi
    25
ziseyinzi  
   2021-04-27 21:17:56 +08:00 via Android   ❤️ 2
+86 号码,Android,英文系统和界面,可复现。看过这贴主动去找,还挺明显的
piloots
    26
piloots  
   2021-04-27 21:40:38 +08:00
哈哈哈,估计想出来的是玩论坛刮刮乐的吧
enoc
    27
enoc  
   2021-04-27 22:06:35 +08:00
滴滴不够聪明,应该用盲水印
swiftg
    28
swiftg  
   2021-04-27 22:28:01 +08:00 via iPhone
iOS 端复现
aloxaf
    29
aloxaf  
   2021-04-27 22:30:33 +08:00
@ziseyinzi 盲水印的话就检测不了了,不过可以开发一个自带 SVD 压缩的截图工具自动去水印(
dLvsYgJ8fiP8TGYU
    30
dLvsYgJ8fiP8TGYU  
   2021-04-27 22:54:49 +08:00 via iPhone   ❤️ 1
@aloxaf
对纯文本文档截图直接二值化,或者为文档里的图片设置有限的灰色梯度,差不多能对付盲水印了吧

除非在文字排版宽度间隔里编码 uuid
LudwigWS
    31
LudwigWS  
   2021-04-27 22:58:01 +08:00
这都啥眼神。。。
lhc70000
    32
lhc70000  
   2021-04-28 07:25:06 +08:00   ❤️ 7
滴滴的人已经知道楼主是谁了……
youtoshell
    33
youtoshell  
   2021-04-28 08:08:12 +08:00 via Android
眼神不好,楼主上传的图片咋地看不到字符呢,
jdqingm
    34
jdqingm  
   2021-04-28 08:13:23 +08:00 via iPhone
楼主是不是应该给这段代码打个码
starcraft
    35
starcraft  
   2021-04-28 08:36:36 +08:00
京东也有这种,不过是直接找个角落显示的,没有特别的隐藏。
winterx
    36
winterx  
   2021-04-28 08:40:11 +08:00
我想知道楼主用什么手机。。。。
yyfbbb
    37
yyfbbb  
   2021-04-28 08:41:35 +08:00
@youtoshell 在 快车-车费预估 上方
VeryZero
    38
VeryZero  
   2021-04-28 08:45:54 +08:00
善意猜测的话就是个流水号,用于用户投诉时复现计费逻辑,这是开发中常用套路。

恶意猜测的话。。上面说了很多了
charlie21
    39
charlie21  
   2021-04-28 08:48:02 +08:00
uber 有吗,赶紧去查查
sobigfish
    40
sobigfish  
   2021-04-28 08:57:23 +08:00
好奇,有什么算法能直接发现这些隐藏的元素吗
jjplay
    41
jjplay  
   2021-04-28 08:58:13 +08:00
@VeryZero 客户投诉 肯定能够传客户的 ID 计费值等信息的,都是可查询,这种隐匿的方式 很可能就是如上...
nkzyx
    42
nkzyx  
   2021-04-28 09:05:30 +08:00
试了一下,安卓端也有~
murmur
    43
murmur  
   2021-04-28 09:07:45 +08:00
解决不了问题就解决掉提出问题的人?
anonymous1024
    44
anonymous1024  
   2021-04-28 09:09:49 +08:00
滴滴牛逼!!!查了美团垄断,不查查滴滴?
MakeItGreat
    45
MakeItGreat  
   2021-04-28 09:12:33 +08:00 via Android
认为这是方便解释而不是方便作恶的人…………
xingguang
    46
xingguang  
   2021-04-28 09:16:19 +08:00
有点恐怖啊
xingshu1990
    47
xingshu1990  
   2021-04-28 09:18:29 +08:00
@Maboroshii #12 如果不做处理,用手机拍摄出来的图片,还保留坐标点信息,拍摄时间等,这个还要用一些编辑软件删除掉相册的信息。
ihipop
    48
ihipop  
   2021-04-28 09:19:11 +08:00 via Android
@starcraft 京东的在哪?
CloudnuY
    49
CloudnuY  
   2021-04-28 09:26:27 +08:00
实测小程序也有这串字符
neptuno
    50
neptuno  
   2021-04-28 09:27:07 +08:00
@Jooooooooo 肯定不是吧,要解释杀熟的话,让用户提供订单号或者手机号就能查到了,何必这么大张旗鼓
Latin
    51
Latin  
   2021-04-28 09:28:16 +08:00
@enoc 截图怎么用盲水印
TORYOI
    52
TORYOI  
   2021-04-28 09:29:39 +08:00
安卓端的订单出行车费明细里面,右上角也有这个,不明显但是肉眼可见
fucku
    53
fucku  
   2021-04-28 09:29:57 +08:00
哦!! 这就是那个传说中的 隐写术, 之前一直觉得没啥用, 没想到还可以用来追踪!!!

#16 计划通
iminto
    54
iminto  
   2021-04-28 09:33:23 +08:00
好家伙,真是好家伙!
creatdate
    55
creatdate  
   2021-04-28 09:35:26 +08:00
这很明显是想通过截图追踪啊,应付一般人足够了。这倒是提醒我了,以后我也应该给页面上加上水印,不过我拿到 id 后也只是想方便处理异常。而滴滴拿到后就不知道要干什么了
gzg1023
    56
gzg1023  
   2021-04-28 09:36:07 +08:00
感觉不是好东西
bayec
    57
bayec  
   2021-04-28 09:47:03 +08:00
楼主眼神牛逼啊!
stevenhawking
    58
stevenhawking  
   2021-04-28 09:53:13 +08:00
防止串货
no1xsyzy
    59
no1xsyzy  
   2021-04-28 09:54:48 +08:00
@Latin 频域随机密码盲水印可以抵抗各类裁剪、变形,倒是手机转拍能消除(有摩尔纹)
Latin
    60
Latin  
   2021-04-28 10:06:27 +08:00
@no1xsyzy
我的意思是截图的系统接口怎么操作添加盲水印
按你的说法来就是要截图的画面中添加好一个已经有盲水印的图片呗
wtks1
    61
wtks1  
   2021-04-28 10:10:17 +08:00
@lucybenz 这不就跟传说中魔鬼把契约条款写在花纹边框里一样了吗....
cirzear
    62
cirzear  
   2021-04-28 10:11:04 +08:00
lz 真是火眼金睛啊哈哈
shaohan0228
    63
shaohan0228  
   2021-04-28 10:14:56 +08:00
方便公关使用的吧 谁在网上发个帖子 滴滴立刻就能查到事主
no1xsyzy
    64
no1xsyzy  
   2021-04-28 10:20:13 +08:00   ❤️ 1
@Latin 对,背景图片添加盲水印
horizon
    65
horizon  
   2021-04-28 10:22:28 +08:00
楼主眼神牛逼
echo314
    66
echo314  
   2021-04-28 10:24:09 +08:00
想知道反垄断调查组有能力查么
Shirotaka
    67
Shirotaka  
   2021-04-28 10:25:16 +08:00   ❤️ 6
亲测,使用欧盟地区(德国)手机号注册的账号,也会有这个 tracingId,所以 didi 根本没在管 GDPR 的。
lichdkimba
    68
lichdkimba  
   2021-04-28 10:25:50 +08:00
虽然感觉不是好事 但是也可能只是把订单号隐式的显示出来了。。。。。
icetea12138
    69
icetea12138  
   2021-04-28 10:26:56 +08:00
感觉要上新闻头条了,我先留个言
wuchangming89
    70
wuchangming89  
   2021-04-28 10:32:15 +08:00
财富密码
hendry
    71
hendry  
   2021-04-28 10:32:46 +08:00 via Android
有没有这种可能,其实很多 app 都有这种隐藏功能,我有个微信明明换绑了国外手机,登录进去显示外国手机号,奇葩的是国内手机还可以登录,让我不得不联想某个隐藏界面或功能入口,就有手机绑定历史这个东西,其他更不用说
stevezhengs
    72
stevezhengs  
   2021-04-28 10:33:24 +08:00
全方位监控
learningman
    73
learningman  
   2021-04-28 10:34:01 +08:00
@Latin #60 拿个 canvas 全屏绘图呗(
kimiarchangell
    74
kimiarchangell  
   2021-04-28 10:35:27 +08:00
为啥我测了一下只有个 No. 后面没看到字符
q197
    75
q197  
   2021-04-28 10:38:40 +08:00
@Shirotaka 假如这个对应某个订单编号,前端展示出来作为调试或者别的手段违规吗
q197
    76
q197  
   2021-04-28 10:42:01 +08:00
善意推测,就是为了调试方便,所以显示了编号。淘宝现在新版好像没有新闻了,之前淘宝的新闻页面左右滑动翻页的骨架页也有调试信息。
恶意推测,这个作为追踪还是简单了点,真想追踪完全可以用数字水印
tiedan
    77
tiedan  
   2021-04-28 10:48:39 +08:00
订单号
midare
    78
midare  
   2021-04-28 10:49:50 +08:00   ❤️ 9
不光计价预估有,最后的明细页面也有。用对付企业员工的手段对付用户,可以的。看这条微博,估计滴滴就是靠 ID 水印才联系上用户的吧…

https://weibo.com/7360820887/JzcjIohzX?layerid=4583888305787449



expkzb
    79
expkzb  
   2021-04-28 10:50:18 +08:00
应该就是这笔订单的流水号,减少客服人员工作量的吧。
midare
    80
midare  
   2021-04-28 10:50:46 +08:00
@tiedan 只是点预估价格,都没生成订单呢…不可能是订单号啦,应该就是用户 ID 一类的
restlessdream
    81
restlessdream  
   2021-04-28 10:53:09 +08:00   ❤️ 1
以后发帖,直接用另外一个手机对着这个手机拍照,这样子不管你是盲水印还是很复杂的加密水印,都可以搞定
midare
    82
midare  
   2021-04-28 10:56:48 +08:00
原来计价规则页面就有…而且看着更清楚甚至可以选中( Hybrid 泪流满面)

duanxianze
    83
duanxianze  
   2021-04-28 10:57:53 +08:00
楼主很快就能接到滴滴要求删帖的电话了
miniwade514
    84
miniwade514  
   2021-04-28 10:59:29 +08:00   ❤️ 1
为了方便查问题,把订单号或者其他信息一起编了个码。打个比方,你对订单有异议,截图发给了客服,客服对着你的截图能查出什么?别说客服查不出来,就算发给开发也查不出来,因为页面上没有什么有用的信息。但是产品设计的时候,又不想把订单号直接裸露在页面上,所以就用这种不影响体验的方式嵌在了页面上。
楼上有些人带节奏带得飞起哦。好歹是技术论坛,吐槽能不能稍微理性一点。
jianghaifei
    85
jianghaifei  
   2021-04-28 11:03:01 +08:00
直接好家伙
VictorFrank1
    86
VictorFrank1  
   2021-04-28 11:03:07 +08:00
细思极恐
duanxianze
    87
duanxianze  
   2021-04-28 11:03:33 +08:00   ❤️ 1
@miniwade514 这不是订单 ,这还只是预估, 还没生成订单,另外,我向来是不惮以最深的恶意 思考国内互联网企业的,最后,无论善意还是恶意,这种行为都不能被允许
perqin
    88
perqin  
   2021-04-28 11:04:38 +08:00
@q197 我觉得展示出来不违规,但是和背景颜色这么接近、可以藏着,就有问题。
midare
    89
midare  
   2021-04-28 11:04:55 +08:00
@miniwade514 这没法解释车费预估和计费规则页面都有水印呀(那个时候显然订单还没有生成),为什么产品设计的时候不想(不能)把订单号暴露呢?这样甚至可以让用户反馈的时候主动提供订单号吧…
perqin
    90
perqin  
   2021-04-28 11:06:37 +08:00
@miniwade514 客服可以找用户要手机号和操作时间啊。
liprais
    91
liprais  
   2021-04-28 11:08:08 +08:00
@miniwade514 这个时候有订单么?
512357301
    92
512357301  
   2021-04-28 11:08:34 +08:00 via Android
@lichdkimba 不是订单号,每次点进去数值都会变的,说明是随机数
est
    93
est  
   2021-04-28 11:10:56 +08:00
@SingeeKing 我也希望这是真的,但是如果是这个出发点,完全可以正大光明的把订单号展示出来。。。对吧?
Astrian
    94
Astrian  
   2021-04-28 11:28:07 +08:00   ❤️ 11
最新消息,滴滴悄咪咪取消掉了这个水印…… 刚才点进去之后发现页面标题明显往上提了一点
EyreYoung
    95
EyreYoung  
   2021-04-28 11:34:57 +08:00 via iPhone
@miniwade514 那完全可以在这个界面设置分享按钮,客服看不出信息请求用户把有用信息导出来就行了,何必这么鬼鬼祟祟?
Imindzzz
    96
Imindzzz  
   2021-04-28 11:52:07 +08:00
@Greatshu 好家伙,我直接实验一下
ShuoHui
    97
ShuoHui  
   2021-04-28 11:55:34 +08:00 via iPhone
@miniwade514 对大厂谈理性,笑死。
realpg
    98
realpg  
   2021-04-28 12:37:29 +08:00
不是滴滴人
但是比较了解滴滴机制
这个东西个人估计不是跟踪用的
只是一个 id,不知道为什么显示了
这个 id 在他们的算法里很重要,主要是针对匹配赠券
Felldeadbird
    99
Felldeadbird  
   2021-04-28 12:40:50 +08:00
以后任何维权,都不能靠手机 APP 截图来实现了。。。必须拿另外一台手机对着拍摄。破坏这种数字水印。
horizon
    100
horizon  
   2021-04-28 13:29:12 +08:00
@miniwade514
"就算发给开发也查不出来"
"但是产品设计的时候,又不想把订单号直接裸露在页面上,所以就用这种不影响体验的方式嵌在了页面上"
你在说啥。。什么产品设计?
1  2  
关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   我们的愿景   ·   实用小工具   ·   3389 人在线   最高记录 6543   ·     Select Language
创意工作者们的社区
World is powered by solitude
VERSION: 3.9.8.5 · 37ms · UTC 11:16 · PVG 19:16 · LAX 04:16 · JFK 07:16
Developed with CodeLauncher
♥ Do have faith in what you're doing.