2016年九月月 发布的文章

杂谈知行理工app

首页

【背景提要】

众所周知,理工推出了一款“新型”app,叫做“知行理工”。多方宣传啊,到处都能看见咱家特产的广告。当然啦,按道理来讲,这款皇家定制的App会带给我们一些新的体验才对。毕竟几十年的文化沉淀,终于产生了这款app。官网的主页设计,也确实很棒,于是怀着期待的心情,在官网找到了TA

【前情提要】

刚一下载,看完安装包大小,心就黑了半截。22M的app,里面该包藏着怎样的“情怀”!
安装上了,界面还算中肯,UI也还ok,毕竟22M,光放图标肯定也填不满这么多。

可是,用了一会,我真的越想不通了。

你说这软件啊,真的就这么奇怪。隔壁工商和咱们一样的app(理工的是外包给一个叫云华科技公司的?Maybe!),一个10M,一个20M,功能也差不多,怎么他就这么大!怎么他就这么大!怎么他就这么大!

于是我就被这个问题占满我的头脑啊,我就在想啊,我要破解这个秘密啊,想想就很刺激啊!
疑问:这个app,这么大,肯定是有问题的呀,问题在哪,不好说。但是可以猜啊,于是我

-------------以下内容少儿不宜,请回避-----------------

【提出猜想】

猜想:知行理工==知行浏览器
证明:利用fd抓一下包。
结果呢,不抓不知道,一抓包就暴露出来几个比较严重的问题(见详细).

【探索与发现】

这里提一下发现内容以及一些软件设计本身令人诟病的地方 :
1.软件登陆实质上是post数据给
post数据
这里,数据是表单,内容:userid=学号 password=MD5加密后的密码(初始密码是身份证后六位或者00000)
现在互联网安全发展很快,很多人以为MD5真的是安全的,甚至不少公司现在都是采用的md5加密,以前很安全,毕竟是不可逆的,至于现在嘛,百度关键词:彩虹表。
当然,当时对于大公司来说,MD5加密也是远远不够的。现在,哪怕是小公司甚至个人博客,大多数加密都至少采用了加盐的方式,一切都是为了安全!这一点我非常不能理解,加盐并不难,却可以更加安全,技术上不是不能做到,而是非常简单的一件事。出于这一条,甚至对这个app的安全问题有一些怀疑!于是见第二条
2.登陆并没有要求输入验证码,验证码意味着什么?很简单,防止暴力破解密码!你会想啊,默认密码身份证后六位,9^6=43046721,这数字想都不敢想啊,机器也需要很长时间把?啊?可是,后六位的构成是有规律的,真正的数字远远小于这个数字,见百度百科~还有些密码是六个0的呢?说这么多,我知道一定会有人说这句话,“你就这么一个小软件,谁会在乎呢?用的人又不多”。确实是这样,这点让我好歹还有了一些信心。不过请看第三条
3.登陆之后干些什么好呢?试用功能?不,我已经用过了!突然,我又想到了第一条我提到的那个页面,好奇心驱使下,我直接访问了那个链接(不带参数)。没错,一片空白!可是我现在在猜TA就是一个浏览器啊!浏览器能干什么啊?拿给用户看啊!看什么?看访问结果啊!于是,带参数访问了这个地址,什么,你问我怎么访问?好吧,
访问
页面刷新出来的时候,脑子立马炸了。你问我为什么?我见到的是一个JSON。于是我把他整理出来,见下图
个人资料json
我的身份证号码竟然没有加密的就这样摆在我的面前,我几乎不敢相信!有没有一点安全意识?我也没有看见app内有哪个模块引用了身份证这一条。
那么,话又说回来,为什么不加密?打个星号加个密也ok啊。然而并没有!假如,我是说有人刚好这么无聊,刚好扫到了我的号,刚好像我这样老是想着研究为什么这款软件会这么大?那么,是不是我的户 [防伪] 籍已经出来了?不该调用的东西,请让TA安安静静的呆在数据库里。那里环境很不错,请不要时不时的拿出来晒一下阳光!
如此,已经没兴趣看下去了,拖动图标,准备卸载。回眸之间,发现了一些更有趣的东西。还记得我抓包的初衷吗?验证这个软件就是一款浏览器!对没错。下面的内容完美证明,这就是“知行浏览器”!

4.部分功能表格
好吧,这款软件我最喜欢的就是教室查询这个功能,然而,并不需要安装这个软件就能访问~我即将被这款“知行浏览器”打败,但是这还不算完,请看下面第五点

  1. (1)软件申请权限过多!
    其实这不是个别问题,而是普遍问题,国内的软件现在已经有了一个趋势,“管他权限有没有用呢,我先拿到手再说”。为了方便说明,将其整理为一张图,请看下图(点击查看原图,防止压缩,手机党请无视)。
    点击展开,查看完整图片
    权限列表
    总共有14个权限!其中没有任何*用的权限有:振动器、GPS定位、相机使用无需确认、阻止手机休眠。
    好吧。前面两个我都能理解, 振动器可以用来提醒日历上的日程安排时间到期,GPS是为了方便“校园地图”定位。可是,你申请相机的使用权干什么?上传头像?那只需要访问SD卡权限,已经有了,谢谢。阻止手机休眠?干啥子,想要常驻后台?还是屏幕常亮?打开你之后你就“旋转、跳跃,你不停歇了”?

(2)这个App在activity里面,有一个JPUSH极光推送的activity。这个activity比较有趣,TA有个相互唤醒功能,会自动唤醒QQ和UC(睡美人,这两玩意是你家人?),也就是说,你打开这款软件,相当于还打开了UC &QQ全家桶
(马化腾提醒您,您订购的腾讯软件十件套已送到,请查收)

【废话总结】

以上就是证明 知行理工=知行浏览器的全部过程。

【建议】

权当是一个小透明给大老板们提供的一个小小的建议吧。毕竟,软件是你们的,数据库也是你们的。听不听也是你们的!
1.添加验证码机制
2.密码请使用md5加盐加密
3.拼命的减小安装包大小,而不是变着法的增大安装的体积!百度地图的sdk完全可以精简,因为基本上没有人用那个校园地图的功能,因为,校园地图.jpg就能搞定的事情,并不需要你去用2M多的安装包体积来换!
4.精简权限、activity。这只是针对理工人自己的app,请不要像手机QQ那样,巴不得把所有的软件功能都装在自己身上!
5.使用安全套接字层超文本传输协议。https要不了多少钱!
6.身份证号码、手机号、QQ号请至少用星号加密!!既然没有地方需要他显示的,就让他好好的呆在数据库里面,不要放出来!这很不理工!!
7.20多M这对于大部分都是2G RAM的手机而言,并不多。但是如果能把这20M的内容变得更加丰富,比如有个自己的论坛、自己的二手交易市场、活动市场。我相信,即使是30M,装的人绝对不在少数!App需要活力、需要维护,而不是就这样,弄好了,滥竽充数,便甩手了之!
8.若有幸让这个项目的负责人看到,如果觉得我的建议没什么用。请无视,并不要查我水表!只是实话实说,只是一个app用户自己的心声。安心做好网页,而不是把定制过的浏览器变成app,告诉我们这就是客户端!如果觉得我的建议还算中肯,能够采纳,当然那更好。不过,这样的几率能有多少?

安利一打小而精的Android软件

大清早的,分享几波小清新软件。

背景

谷歌的离开,导致市场对app 的审核力度越来越低,众多的软件里。像QQ这样的,恨不得把所有的功能都给自己加上,相册、二维码、网盘、部落、音乐、附近的人、无线传文件。太多太多的功能,然而真正用得上的,除了聊天功能,就只剩下QQ红包和表情了。于是,如何选择一款合适的功能适合自己的“替代品”变得尤为重要。实在无法替代的,我们另辟蹊径。

正文

以上都是口水话,下面请看正文:

1. H5浏览器

一来就先放个深水炸弹。为什么这么说呢,这个浏览器给“小”,小到你甚至都不会相信他只有35kb!对,没错,单位没写错。就是35kb。软件很小,肯定不会自带内核啦,所以调用的是系统的Webkit内核,但是功能只会在系统之上。
有哪些功能呢:
UA 自定义:只有UC的UA和iPhone的UA浏览百度云网盘移动版的时候普通下载按钮才不会被广告浮动层遮挡
插件自定义:小说阅读插件、工具栏插件、搜索栏插件等等
广告过滤:这个功能很棒,用过ublock或者ADBlock的人已经很清楚,有些广告规则没有办法全部适配。遇到这种广告的 时候只有手动选择然后过滤。
主题定制: 如意如意,按我心意,快快显灵。
云端同步:这年头没个云同步都不好意思称自己是个浏览器
H5浏览器H5浏览器

2. WolframAlpha

想要一个计算器?一个不能内存太大的计算器,但是功能绝对要强横!厉害如Mathematica,小如H5浏览器。
事实上。这款软件没这么小,TA足足有2.21M(1.30.5403)。从普遍意义上讲,他不仅仅是一个计算器。他可以回答你今天的天气,也可以告诉你今天是不是“忌出行”。TA是一个搜索引擎,然而,最厉害的来了,TA最高明的地方,就是你告诉他高数题,他给你的就是答案还有详细的过程!而不是一个链接,一段网页。这是其他搜索殷勤所不能给的,一个Mathematica软件在线版。就是这么强大!不过,这个软件是英文版,但是,这似乎并不影响。
你可以轻松的用简单的记号告诉TA,比如

 int_0^1 x^2dx

用latex的“语句”来说就是

TA就表示x2在0到1上的定积分
当然,你也可以用英语告诉TA:

 integrate of x^2 from 0 to 1

Mathematica

3. 静读天下 PRO

静读天下的定制功能大概是所有阅读器中最强大的了,小到字号font-size、内边距padding 、外边距margin,达到软件工具栏、手势、翻页特效。最喜欢的还是TA完美支持epub(IPAD常用小说格式)、UMD、TXT、HTML、MOBI、CHM、ZIP等,内置40多种文字。软件体积不大。相比其他阅读器。什么,你问我为什么用PRO,我不会告诉你的。
PRO版的没有广告!PRO版的没有广告!PRO版的没有广告!
静读天下

4. Packet Capture

手机上的抓包软件,通过自建VPN抓包,无须ROOT,大概是手机上最方便,最适用的抓包软件了!
当然,也许不如电脑上的Fiddler强大。不过,这对于普通app已经够用了.
英文版
Packet Capture

5. My Android Tools

一听这名字就一定了不起。事实上,这款软件简直是个神器。还记得【背景】里的那句话吗?“实在无法替代的,我们另辟蹊径。”这就是另辟蹊径的最佳方案。
怎么个另辟蹊径法?试想这样一个问题:我想定制我的QQ,要是只保留QQ红包、表情、聊天功能就好了。因为其他的功能,我根本不需要,也不希望QQ自己加载(以下简称调教)。这样,打开QQ一下子飙到200M+的内存,会不会有所改善了!答案是确定的,而且,已经实现了。就是这款软件。这款软件可以看成是Lucky Patcher(国内译名:幸运破解器)的精简版。也可以说是功能独立版,因为他的功能,Lucky Patcher(以下简称L-P)完全可以做到。不过,L-P没有备份设置功能。
My Android Tools(以下简称MAT,因为图标很像写轮眼,你也可以称TA写轮眼)可以备份你的设置方案。全称、简称切换。这对于些通过名称来判定activity的童鞋非常有用。建议使用PRO版。嗯,理由同 静读天下
那么如何“调教”我们的软件呢。
很简单,需要什么服务就开启,不需要的就关闭 ,需要什么活动(activity)就开启对应的活动。
嗯哼,说的比较笼统。那么看看如下这个例子吧:
手机QQ
这是手机QQ界面,我怎么确定我不喜欢的功能模块呢?
比如我想要关闭空间(实际上我没关,因为其他功能都被我禁了。只能找个没禁用的来写教程了),因为这货一运行就占用了我100多M的内存,这对于睾贵的nubia来说,并算不了什么。然而,小内存用户就相当吃力了。
我们可以看到,左上角显示出来了这个activity的名称(这个小工具的名字叫 当前activity)
MATqzone禁用界面
于是我们可以在MAT的activity(活动)里面找到TA,并禁用。完美了吗?并没有,因为我们很清楚,叫qzone的,像这样的,还有很多个。于是我们想到了关键词,对,QQ空间的关键词qzone,搜索出来,全部禁用。ok啦。你现在可以打开QQ,点击“与我相关”,你会发现,现在已经进不去了。对,因为这个功能成功被干掉。那么,学以致用,
QQ语音视频服务关键词:AV
附近相关(附近的群、附近的人等):NearBy
游戏 :game
阅读:qreader
动漫:vipcomic
看点:HotSpot
收藏:qqfav
钱包:qqwallet
QQWIFI: wifi
NFC:nfc
电话黄页:huangye
QQ数据线:dataline
文件互传:qlink
图片编辑:photoPlus
兴趣号:readinjoy
新鲜事:freshNews
约会:dating
叮咚 :dingdong
面对面:facetoface
公众号:pubaccount

最后一步,开始秀你的QQ内存
内存占用
[v_act]
如果连图片表情功能都不需要的童鞋,可以考虑用QQlite(轻聊版)[/v_act]

6. VIPERFX

想听好音乐,夜晚来临时。深夜睡不着觉怎么办。来段英语听力,提提神吧!
漂亮的UI,强大的输出功能,几块钱的耳机,一样能听出雅马哈的赶jio!
Android 5.0以上需要自行卡刷驱动。

VIPERFX

7.per app hacking

增强版的MAT,拥有强大的媲美MAT的功能。可以设置对单个app设置代理,强大的时间机器(Time Machine)可以让你无限试用软件,天啦,我都不好意思说拿这个软件全来做坏事了。
perapphacking

8.应用变量

这款软件如其名字,为每个应用设置变量。这些变量是什么呢?其实就是你的设备参数,比如IMEI、IMSI、厂商、型号、运营商、MAC、AndroidID、ICCID、UA等等。话说这些有什么用呢。嘿嘿嘿。两个字:伪装。通俗的讲,无形装逼。
请看下面截图
应用变量
假如我为QQ设置了这样一个temporary variable
你可以猜想一下,我发条说说,效果会是怎样的?
空间尾巴
没错,就是这样。无需会员,低调高端奢华有内涵。
当然,这仅仅是娱乐性,这对于那些平时很低调,从来不用娱乐玩法的童鞋来说,可能有些鸡肋了。
然而,介绍一个比较有趣的玩法,八门神器是曾经火遍Symbian的一款修改软件,通过这个软件,却能达到一些意想不到的效果。当然,在这里,也要鼓励大家支持正版。
八门神器

本来还有很多的软件,想要一一分享给大家,不过,时间有限 主要是我太懒了,懒得打字,不想写了
安利到此结束,那么,下期再见,退朝~~~~