在微信内编辑图片会上传并审查原图

[Dreax]

在 iOS 微信中编辑（打码）了一张图片并发送，编辑后的图片如下：

几秒后原图中的地址收到了 120.233.19.186 （广东移动）的访问，URL 是图中部分可见文字的拼接

{"time":1700801419.550,"host":"XXX:443","req":"GET /YYY/snapshotsMethodPOSTHeadersAuthorizati...Bearer","req_size":980,"ip":"120.233.19.186","ua":"Mozilla/5.0 (Linux; Android 13; M2007J1SC Build/TKQ1.221114.001; wv) AppleWebKit/537.36 (KHTML, like Gecko) Version/4.0 Chrome/107.0.5304.141 Mobile Safari/537.36 XWEB/5127 MMWEBSDK/20230405 MMWEBID/1151 MicroMessenger/8.0.35.2360(0x2800235D) WeChat/arm64 Weixin NetType/WIFI Language/zh_CN ABI/arm64 qcloudcdn-xinan Request-Source=3 Request-Channel=99","status":404,"resp_time":0.000,"resp_size":1482,"protocol":"HTTP/1.1","tls":"TLSv1.3"}

DNSlog 复现成功，但似乎没有 log4j 漏洞

43.136.129.249, 220.196.152.109, 101.35.153.118, 81.71.98.69, 183.36.24.8, 106.52.173.110, 106.52.173.28, 106.52.173.28, 81.71.98.134

[Lin0936]

这个“Authorizati...Bearer”真是绝了

[freshgoose]

牛皮啊

[NoOneNoBody]

我是默认它应用内全部，应用外部分，只要“力所能及”，通通上传

[AoEiuV020JP]

厉害了，已经不能算是巧合了，就是手段太粗暴了，

[Atsushi]

狠 幸好我几乎不用

[ishamo]

微信里面发的链接也会收到微信对该链接的请求，一般是零晨 1 到 3 点

[windrun]

打码了还审查原图，太粗暴了

[qinfengge]

毫不意外

[fluffyfoxxo]

@ishamo 同样有体会，1Password 分享密码的链接设置了只能被查看一次，用微信发出去之后接收方点开已经看不到了。

[Goooooos]

@fluffyfoxxo 那个是链接的预览功能吧？当然认为是审查也可以，因为没人知道他在后面做什么

[fluffyfoxxo]

@Goooooos 微信没有链接预览吧，而且刚刚测试了下 Telegram 和 Discord 的链接预览都不会导致消耗掉查看次数

[jjxtrotter]

有没有人试试 WeChat （海外版）是否有这个“功能”，洋大人的待遇和我们是一样的吗

[googlefans]

早有预感
没想到今天被你抓到了

[x1aomiao]

让我们猜一下这条会不会进水深火热

[shiao56]

嗯，以后打码图片的活交给 dama ，就不劳烦小而美操心了

[SunsetShimmer]

具体行为是单纯的 GET ，还是容器内用浏览器访问？

[fan88]

18:24 实测，截图一个链接。
查看 Nginx 上服务器的访问内容，是没有任何新增访问记录的。

不知道什么原因。

[xuepoland]

无时无刻的看着你

[followNew]

麻花藤把用户的一切信息都收集起来，加工分析，然后卖钱。
电诈的把用户的一切信息都收集起来，加工分析，然后骗钱。

[weiruik]

iOS iPadOS 均能复现，但是 Mac 端似乎没有，可能是因为截图工具使用的是开源组件的原因

[SunsetShimmer]

Android 端未复现，没有收到请求，没有 Cloudflare 防火墙事件。

[irainsoft]

楼上说的 1password 单次分享密码链接被提前点开的问题我也遇到过... 真的不能用

[Marionic0723]

家里服务器公网共享文件，链接一发上微信，过一会就有上海电信来连接

https://www.v2ex.com/t/840035#reply28

[jianchang512]

你没做亏心事怕啥审核的
对国家要啥隐私，是不是五十万（🐵保命）

[kevenli]

楼主放出来的这些 IP 全都是腾讯的机房 看来确实是微信服务端的操作了

[fan88]

iphone, win PC . 复现失败。

是否是因为域名已经备案的原因？

[jianchang512]

真担心明天会在这里看到你的认错道歉辟谣贴

[renmu]

是微信 ocr 了原图然后找到其中的链接并进行访问?

[bigbyto]

这个事最恐怖的还不是审查图片，是它自己去访问了图片中的链接。它们的审查到底做到了什么地步?

[kaitok]

19:40 尝试通过 DNS LOG 没有复现成功

[MoeWang]

遇到过，有时候来源 UA 是 MacOS 的

[fan88]

关键点是编辑，编辑发送图片复现成功。

[kaitok]

@kaitok 补充，我的账号是 WeChat ，截图内容是 dnslogs[dot]online 的网址，非常大和醒目

我编辑打码，然后发给朋友（非 WeChat ），朋友再编辑打码发送给我，都没有看到请求记录

[Dreax]

@renmu 是的，微信会对发送的图片进行 OCR 审查敏感文字和会对发送的链接进行访问审查这两者都并不是秘密，但这是第一次发现这两者的结合。而且是对编辑前的原图进行 OCR ，不过目前不知道是在本地还是上传后进行的（这需要有微信抓包经验的网友验证一下）。

[greatbody]

@fan88 如果这样在链接中加入内容，注入了他的系统，破坏了它的系统，它能告我么？

[fan88]

@greatbody 开玩笑那可是腾讯，怎么会不告你。

[Dreax]

@SunsetShimmer 是在微信内编辑后发送吗？以及是否是 WeChat 、是否有备案？

[SunsetShimmer]

@Dreax #37 加号-相册-选择图片-编辑-马赛克-完成-发送。不是 WeChat ，无备案。

[xyui]

按照描述，编辑进行简单涂鸦，和打码均未能复现

[kaitok]

/go/flamewar ？

[alsotang]

识别原图中的 url 然后去访问？这活儿有点细啊。

[pushy]

iOS 复现成功，太恐怖了

[dm87497]

有没有类似 sendsecure.ly 这样的网站，支持发送图片的。

[SunsetShimmer]

@fluffyfoxxo #11 不会消耗查看次数可能是因为服务器端根据 UA 对 Telegram 和 Discord 的 Bot 做了排除？

[Nile20]

我靠，你这链接都换行了，他们还特地做了这样的识别？另，希望不要看到你的辟谣道歉帖……后面类似的大佬还是搞个新号发吧~

[Persimmon08]

如果发送的是二维码图片，二维码图片对应一个链接或者是一些字符串，这些链接或者字符串中的关键字会不会被审查或访问

[n2l]

我把 sever 酱的链接，贴在了图片上，发给自己，也发给别人，暂未收到点击。

[elboble]

专门做一张图片，放 1000 个网址，然后大家互传个一天，是不是腾讯会累死。

[yyzh]

@elboble 人类跟机器比是比不过的

[Nile20]

@Nile20 #44 完了，我在 X 上也看到了……希望不要一语成谶……

[est]

@kevenli
@jianchang512
@bigbyto
@Dreax
@pushy

据说，南山🚔有腾讯调证处，里面有 wechat <-> 微信的解密流量镜像。

如果这个说法是真的，那么这个请求不一定是腾讯发出的。很可能是第三方强权机构或者其承包商发出的。

[docx]

只知道链接会，之前看谁（好像也是 V2 ）说有个只能访问一次的链接，发到微信之后打开就失效了。

没找到图片还能 OCR 出网址去访问，审查的算力真是疯狂啊……

[dontLookAvatar]

不知道发给文件助手, 然后再编辑会不会? 时常把一些向日葵和不太重要的账号密码发到文件助手用来备份...

[EdwardWong]

User-Agent 里有 qcloudcdn-xinan ，其并没有出现在手机微信的客户端中
微信开放社区里有相关问题，可靠性不确定 ( http://archive.today/Tqzhi ) ： https://developers.weixin.qq.com/community/develop/doc/000c0074240058e7bb4fbb0c456000

[kxxoling]

除了微信，别的软件/网站有吗？

[ytmsdy]

@Dreax 我觉得应该是本地先 OCR 识别以后，再把文字上传扫描。本地 OCR 可以借助手机的算力来处理，一方面节约算力，另外一方面节约带宽。

[ytmsdy]

@Nile20 https://twitter.com/Yura8964/status/1729437621636718611 有人发出来了，我就是从 X 上过来的。

[OutOfMemoryError]

@fan88 #17 试试看二维码？

[NDHT]

早就知道微信发送的每张图片都会 OCR 审查上面的文字，没想到还会访问图片上的 URL 来做审查。
我猜微信很可能已经收集了全国人民的声纹信息....细思极恐
我想知道，微信是否会（至少是对部分人群）直接做语音转文字然后审查每一条语音信息的内容。
以及是否会通过语音转文字来审查微信语音和视频通话。

[Thexz]

所以在相册里面编辑打码，然后截屏保存，发送截图

[kingfly]

不细思也极恐

[wtdd]

明白了，桌面版微信当 OCR 使用也会上传的，哈哈，唯有远离了

[morax0xyc]

没复现出来，这是随机抽样的？

[sunrisewestern]

@jjxtrotter #12 你想多了，微信海外用户基本没有洋大人，都是海外华人

[SZP1206]

@Persimmon08 我记得是会的。

[Ericcccccccc]

为啥楼上说恐怖, 这不是常规操作吗...每天活在恐怖片里?

你用微信难道以为在上面传播的图片不会经过审查?

[ZE3kr]

图片里有 URL 二维码是不是也是等价的

[Persimmon08]

所以，在中国现行法律框架下，微信这样搞是否侵犯隐私且违法？

[SenLief]

微信会对每张图片 ocr ，这是审查的基本要求，只不过微信更严而已，链接和 url 是重灾区，之前有看到过大致起源于当时有人用文字转图片。

[Arenxk194]

Wx 还会对未发送的图片进行缓存，不清楚是不是发送到了服务器。打开微信图片对话框，这时切换其他图片编辑器进行编辑，保存并覆盖原图（此时图片已修改）,返回 wx,发送发送图片，会发现时光倒流了,源文件被修改但 wx 发送的还是未修改的图，即使重启 wx,对其他用户发送，依然是未修改的图,一年💰测试的，不清楚它会缓存本机多少图，多长时间，v 油可以测试一下，现在改了没有
@Thexz ，由于这个原因，你在你在相册里编辑也没有啊😯反正自己缓存了原图

[Wataru]

@jjxtrotter #12 都是同一款 app ，我海外号登录就是微信变成 wechat ，没别的区别了感觉

[Alex1111]

@Ericcccccccc 感觉最重要的点是，它会上传审查你未发送的原图。
也就意味着未经许可上传用户未发送的图片。

[lyc8503]

刚去测试了下 QQ TIM 安卓客户端，会对发送的图片中包含的链接主动请求，来源 IP 120.233.19.208 ，但如果打码发送不会对原图审查

[Ericcccccccc]

@Alex1111 你买个小米手机, 感觉它会检查你手机里啥东西?

微信和你的图片之间的距离只有手机的权限能拦住他

[lyc8503]

@jjxtrotter @kaitok

我 Wechat （绑定了海外手机号的微信）直接发有链接的图片似乎都没有触发审查

[Alex1111]

@Ericcccccccc 用的 iOS

[S179276SP]

@Persimmon08 只要是国家默许搞的, 就不算是违法.

[jinliming2]

@Ericcccccccc #66 可是这个不是审查“在上面传播的图片”啊，图片是在本地编辑处理的，在上面传播的是处理后的图片，而受到审查的是本地本应该不联网的原图。

就算是老美搞的棱镜门，也都还只是审查上传到服务器的数据吧？

[lemonJ]

@Persimmon08 在中国现行法律框架下,你是不可能知道微信在这样搞的. 如果你通过某种途径知道了微信在这样搞,包括但不限于通过某些方式去测试微信有没有这样搞,你已经违法了

[jinliming2]

@Nile20 #45 emmmmm ，大部分 OCR 都支持换行识别拼接成完成内容的吧？

[j717273419]

蹲一个删帖辟谣加道歉🙇

[mikewang]

@j717273419 这时就能体现出 v 站的好处了：并不能删帖

[biaoxie]

遥遥领先

[akilawu]

哈人，还好我一直用的 dama ，而且限制了微信对相册的访问，要传啥才给微信看啥。还是果子好啊，源头上杜绝小马哥偷看我裸照（不是）。
听说有一些安卓机也能做了，但是希望能有越来越多安卓厂商跟进，不要让大家天天裸奔（至少心理上好受点）

[lyz1990]

蹲一个道歉贴：“在叔叔的耐心指导下终于搞明白一切都是误会”

[fpk5]

海外 IP wechat 未复现

[smlcgx]

我支持微信，你们可以打我了（狗头）

[cl1ff]

这种发在私聊或者群聊都一样被严控的吗

[Xmi080225]

@cl1ff 前两天还看到那个北京打拳的东哥说微信私聊不会监控 群聊是肯定会监控的，还说是 TX 内部人员消息，看来不可靠

[ajyz]

@jjxtrotter 问这问题就是多余的，一个 CallKit 都能精准控制，这些东西即便存在也不是简单不同地区客户端上做区别。要问也顶多问下海外用户是否能复现

[corcre]

@lyz1990 叔叔都来了, 那不还得没收打工十余年违法所得

[WildDonkey]

这个 URL 早就这样了，我有一个计数器连接，发到微信就发现被访问了，因为数据不同步了。基本透明。

[mazk]

有些人还没看明白，本帖重点是微信审查*未上传*的图片啊，这很可怕诶

[pianjiao]

马上快进到自动删你手机的敏感图片

[villivateur]

我昨天晚上没复现出来，会不会跟账号“信用等级”有关

[cat9life]

插眼关注，这样收集信息的效率倍增，直接看你打码的信息就好

[hauibojek]

相册这种，只要你给了访问权限，不管你传没传都默认图片被应用获取就行了。

[liuidetmks]

“不做亏心事，不怕鬼敲门” （战术后仰

[Steaven]

我们之前做社交的，在微博流或者 IM 应用里用户发的图片链接、网址，我们后台都会去请求一下，把数据抓回来做一个富文本处理。

[lilei2023]

@Xmi080225 东哥的话，信一半就行了，