互站网
47人浏览/4人投稿
34天前
待托管赏金
先介绍一下程序的语言：安卓端是java，后端也是java，苹果端是那个啥c的这个不用管，你只要会java就行了。
情况描述：社交app对接腾讯云IM，有人用别人账号大量发广告，不知道是盗的别人的账号还是有漏洞生成别人的im的usersig发广告的
经过这么久的周旋，个人猜测有两种情况：1：token被盗走了，他利用token成功请求到usersig 2：绕过了鉴权请求获取到了别人id的usersig 3：第三种没暂时没想到我曾经请别的技术处理过但是没有太大的用，处理的内容如下：
1.请求im的usersig签名时候校验了设备id必须后一次登录时候的一致，否则获取不到im签名2.增加了账号登录记录和请求usersig记录，被盗号的这些发广告的账号几乎没有登录记录，但是都有请求usersig的记录（我怀疑是盗走了数据库的token冒充用户请求的usersig）
3.近期对签名接口返回给app的usersig签名用aes128加密了，然后app端解密后才能利用usersig登录im，加了这个功能之后广告一有时间没有了，但是1天左右又陆陆续续开始有了，但是得到了很大的控制，之前是有很多的号轮着发，封了之后立马换别的号发，现在把他发广告的号封了之后要各半小时左右才会再次出现广告寻求，有相关经验的人帮忙处理，感谢
