裸奔的支付X聊天，你还敢用吗？

—

语音消息

使用HTTP明文传输，没有任何加密措施，使用域名为up-mayi.django.t.taobao.com，从报文中可以看出，语音消息是以文件形式在网络中传输的，下图为一次语音的发送传输过程，接收过程与此类似。

语音编码为amr格式，语音内容部分可看到明显的字符串“#!SILK_V3”，和微信、QQ等的语音文件采用的编码是一致的。如果有需要可在本公众号聊天窗口发送“

—

图片

图片同样使用HTTP明文传输，没有任何加密措施，但是域名为mugw.alipay.com:443，使用的是一个支付宝主域名，并且使用的是443端口，却偏偏使用明文进行传输，多么的漫不经心。下图为一次图片的发送传输过程，接收过程与此类似。

—

视频

—

悄悄话

悄悄话是支付X在2017年中推出的一项阅后即焚的聊天功能，可以进行图片，文字，语音，视频四类数据的收发，按正常逻辑，悄悄话应该安全性比其它数据要高，并且不能让第三方的人知晓呀，但是，支付X重新定义了悄悄话，它只是一个名字，实际功能是阅读后记录在界面上被删除，其它包括域名，逻辑，编码等，均与非悄悄话一致。

—

其它

其它例如位置信息等，在此省略，留给大家去分析了，当然，聊天的文本信息是SSL传输的，与红包等资金相关的数据安全性类似。

为防止裸奔，请远离支付X聊天功能，否则，它会突然给你意想不到的惊喜。

专业的人，做专业的事，马道长，还是应该去找王大仙。

如果你有任何需要和大家分享的，请联系我进行分享。

长按进行关注。