因此也就诞生了一些灰色产业#xff0c;专门在…做互联网开发的同学可能对流量这个词很熟悉

在互联网行业中对一个产品的质量有一些关键指标比如日活DAU比如次日留存点击率。

行业潜规则里你自己家给的日活数据都要打个折。

。

除非提供了一些第三方的统计数据。

刷量手段

我们以其中”伪造用户数据”这一点为例子来展示一下如何通过技术手段实现用一个手机让一个app日活过百的。

首先我挑选了一个国外的小众SDK类似于友盟这种有日活统计功能的。

可以看到DAU在3/6之前不超过5(当然这里面超过2的那些是google

开始破解

966694c4-05fa-4020-a39c-ad3bced26b62,carrier:

,custom_id:

1526006628156,controller_version:

{},device_audio:

395fce37-55c3-410e-bdb8-7d20fad3c14e,guid_key:

395fce37-55c3-410e-bdb8-7d20fad3c14eDUBu6wJ27y6xs7VWmNDw67DD

advertiser_id:

966694c4-05fa-4020-a39c-ad3bced26b62,

进一步猜测

做过海外的同学可能了解GP本身也有一个AdvertisingIdClient.Info可以获取设备唯一性识别码而这个编码跟上面接口中的数据长的也是一样的。

如果把gms

97b4cf89a32c3ddb08c1ee0be43d827b129a134b,

可以看到原本的跟UUID一模一样的字段变空了取而代之的是多了个

device_id字段

在国内环境下(没有谷歌的环境)用了另一套机制用来确定设备唯一性

山穷水尽疑无路

应该是经过了加密而UUID加密不出来这样的字段所以我们可以先从第二个可能性开始。

md5/sha1这些可以先暴力猜测一下顶多20分钟就可以知道结果。

运气不错当尝试到

hookAndroidID(XC_LoadPackage.LoadPackageParam

lpparam,

hookAndroidID());XposedHelpers.findAndHookMethod(Settings.Secure.class.getName(),

lpparam.classLoader,

afterHookedMethod(MethodHookParam

param)

{XposedBridge.log([afterHookedMethod]

hookAndroidID:

(String)info.getAndroidId());param.setResult((String)whatever

you

want);super.afterHookedMethod(param);}});

如何防御刷量

对于上面给出的例子来说其实只要在接口和唯一性数据的选择上给出更好的方案就可以避免被刷量了。

比如接口数据加密不要用

android_id一起加密这样即使拿到其中一个也猜测不出来加密算法。

总而言之Android

但我不鼓励大家去恶意刷量希望在平时开发中在敏感数据的设计上多绕几个弯这样能避免被其他人利用。