子彈簡訊中槍：上線10天“漏洞百出”

原本常年在QQ聊天中出沒的兜售“小影片”的不良账號，也與時俱進開始潛入子彈簡訊。由於子彈簡訊不要求對方安裝也可發送資訊的機制，使得不少未注冊子彈簡訊的用戶也不堪其擾。

本文共計1991字，閱讀時間4分鐘。

本文為尋找中國創客（ID:xjbmaker）原創

記者 / 薛星星

編輯 / 蘇琦

子彈簡訊繼續高歌猛進著。

8月30日，子彈簡訊官方微博宣布，截至8月30日0點14分，子彈簡訊總注冊量已經超過400萬。距離子彈簡訊正式上線，才剛剛過去了一周時間。

“36個同事，平均年齡27歲，上線7天，吸引54家投資機構，3天完成融資1.5億。”子彈簡訊在宣傳海報上驕傲地列出一組數據，並稱“這只是光榮與夢想的開始”。

作為子彈簡訊背後的男人，羅永浩也一如既往地在微博上為其月台，“他們也許是中國最好的選擇了”。

但與此同時，子彈簡訊平台上也出現了大量色情、騷擾資訊。多位網友在社交媒體上表示，自己在群聊中常常收到別人發送的黃色資訊及圖片。且由於子彈簡訊無需添加對方好友即可發送資訊的功能，不少行銷號借此向用戶發送騷擾資訊。

截至目前，子彈簡訊尚未對此做出回應。

涉嫌泄露用戶隱私，官方稱問題已解決

這已經不是這款網紅軟體第一次曝出負面消息了，雖然距離它正式發布也才剛剛不到10天時間。

8月23號，網上就有爆料稱子彈簡訊存在泄露用戶隱私的情況。相關報導稱，子彈簡訊的用戶資訊可以直接通過源代碼查看，通過網址輸入用戶ID就可以查看該用戶的相關資訊。

一位互聯網安全領域的人士對記者表示，這是由於服務端存儲了用戶的通訊明文內容，可以通過鏈接的方式訪問，對鏈接又沒有做權限控制。

“說白了就是最簡單的越權，比如你正常訪問一個鏈接看到自己的資訊，把鏈接對應的編號改一下，卻看到了別人的資訊，這種漏洞很容易被人利用，影響卻很大。”該人士稱。

此外，也有用戶發現，子彈簡訊在陌生人添加好友時，可以看到對方的手機號，存在巨大的安全隱患。

相關消息在此後幾天一直未受到人們關注。直到8月27號，子彈簡訊完成1.5億元融資之後，關於其泄露用戶隱私的事情才最終發酵出來。

雖然子彈簡訊於23號就在微博上對此事做出了回應，但大家好像並沒有注意到這個聲明。

這使得子彈簡訊不得不於8月29號再次發出官方聲明，稱產品自8月20日正式上線後，由於web端接口設計疏漏，確實出現過web端顯示明文手機號和自增ID的問題。團隊於21日晚間發現相關問題後，已立刻停止了web端服務，產品也已於23日重新上線。

另外，由於接口設定有限頻功能，第三方無法實現拖庫，因此並不能將用戶資訊批量導出去。關於添加陌生人好友時，可以看到對方手機號的問題也已解決。

上述互聯網安全領域人士對記者稱，子彈簡訊web端的漏洞，可以通過越權的方式遍歷（沿著某條搜索路線，依次對樹中每個結點均做一次且僅做一次訪問），但會留下瀏覽記錄，廠家觀察下日誌就會發現。不過既然官方進行了設定，應該也就沒有什麽問題了。

隨後，記者嘗試通過源代碼查看子彈簡訊的用戶注冊資訊，發現已無法打開相關網站。

子彈簡訊：一個蹣跚學步的孩童

回過頭來看，子彈簡訊的每一個功能看起來都十分的方便快捷，和老羅之前在錘子手機中推出的眾多功能類似，處處都體現了“以人為本”的設計理念。

比如使用語音輸入，並且無需進入聊天界面，在對話欄就可以直接回復消息；比如不要求對方安裝子彈簡訊，也可以向對方發送消息；還有一些稍後處理、歷史頭像等細微處的小功能……

“我覺得早期子彈簡訊都是在做差異化，很多微信不做或者沒做好的功能，子彈簡訊都有涉及，並且嘗試做深。”一位使用了子彈簡訊的創業者對記者說。

不過，隨著子彈簡訊的火爆，這些設計初衷是為了提高聊天效率的功能也變成了用戶的困擾。一些色情資訊、行銷號開始在子彈簡訊中瘋狂傳播。

國外分析師 Matthew Brennan 在社交軟體Twitter上吐槽，子彈簡訊“充滿了色情和騷擾資訊”，而這些資訊大多數在微信平台上都會被屏蔽。

但諷刺的是，相關用戶發送色情影片的檔案，是存儲在騰訊微雲上的。

子彈簡訊方面尚未對此事作出回應。尋找中國創客（ID：xjbmaker）試圖聯繫子彈簡訊方面，對方公關人員表示：“創始人一直在外面開會，聯繫不到。”

但無論如何，和大多數同類型的軟體相比，子彈簡訊至少在起跑線上領先了一大步。但它更像是一個剛剛學會了走路的兒童，在軟體內部功能尚不完善之時，就開始跌跌撞撞地向終點線跑去。

*部分圖片來源於視覺中國

尋找中國創客小程式上線啦！

輕戳，輕鬆讀懂創投圈

本文為尋找中國創客原創

未經授權不得轉載