速盘涉嫌上传用户敏感数据，可能导致百度网盘及相关账户被非法访问

速盘涉嫌上传用户敏感数据，可能导致百度网盘及相关账户被非法访问

速盘是知名的百度网盘下载工具，拥有大量用户，但速盘涉嫌上传用户敏感数据，可能导致用户的百度网盘及百度相关账号被非法入侵。

经相关测试，速盘病毒疑似在用户打开、下载分享链接过程中上传已登录的百度网盘账号数据，以下是分析过程。

首先下载工具（下载地址官网：），打开下载工具，你会看到它告诉你需要登录百度网盘才能下载：

登录百度网盘账号，使用分享下载方法：

这时候打开抓包软件，抓取那个奇怪的数据包，在数据包里可以发现，在一堆类似百度请求的数据当中，有一个发送给()这个域名的数据包，而这个数据包里发送的内容，居然包括了登录账号的数据：

从截图中我们可以看到，发送的数据中还包含登录账号的BDUSS数据，这是百度账号验证的重要凭证。这个凭证是Supan工具在后台直接上传到Supan服务器的。有了这张凭证，Supan服务器就可以登录任何使用过“分享下载”功能的用户的百度网盘账号，而不需要账号密码。由于百度的产品都采用了SSO（单点登录）的方式，所以这张凭证可以用来登录所有百度相关的账号，比如百度贴吧、百度知道等。

希望使用速盘的朋友注意这点，尽快更改百度账号密码，尽量不要使用速盘之类的第三方工具，保证账号安全。

文件名：.9.13.7z

CRC32：

MD5：

SHA-1：