拼多多是怎么做到分享的助力链接域名不是自己的呢？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 772 天前的主题，其中的信息可能已经有所发展或是发生改变。

经常收到朋友发的拼多多助力，无意间发现一个问题，就是拼多多是怎么做到分享的助力链接域名不是自己的呢？

1. https://surl.amap.com/mxNiRlg1d3z
2. https://cc.10010.com/cs/ccc/online/sns/api/view/a61317f05a9e4171986bb845ab4922ce

比如：
上面的第 1 个链接，域名是高德地图的
上面的第 2 个链接，域名是联通营业厅的

域名

链接

助力

多多

135 条回复 • 2023-03-10 23:41:13 +08:00

1 2

❮

❯

101

Erroad

2022-10-18 15:56:47 +08:00

@yuzo555 #42 我经常跟姑姑阿姨玩这些，可以确认是的

102

xinyu198736

2022-10-18 16:36:44 +08:00 via iPhone

这明显是破坏计算机信息系统罪

103

Ansen

2022-10-18 16:43:54 +08:00

感觉并不需要上传图片，纯粹的用三厂域名接随机字符作为 token 伪装成 url 就可以了

比如： http://www.qq.com/3wnmJOBtGLOIiUx

后面的 3wnmJOBtGLOIiUx 就是实际的 token

104

programMrxu

2022-10-18 17:10:26 +08:00

看样子拼多多后台很厉害喽

105

neroxps

2022-10-18 17:15:56 +08:00

理论上，他随便搞个其他域名 url 都可以吧。

恍惚在背后听见 PDD 对微信说：“你封啊，你限制复制口令啊，让你限制啊，来啊~”

106

raysonlu

2022-10-18 17:28:37 +08:00

@PqZS58MLPBHFpEqm Referer

107

weakish

2022-10-18 17:34:50 +08:00

@Ansen 我從來沒有用過拼多多助力。不過我猜偽裝 URL 的缺點是很多人會直接點，然後 404 。如果是短鏈接和圖片的話，就可以引導用戶複製鏈接、打開拼多多應用。

108

summerLast

2022-10-18 18:00:48 +08:00

@PqZS58MLPBHFpEqm 看看是不是 Referer

109

jefferylong

2022-10-18 19:41:55 +08:00 via Android

前两天还看到挺骚的一个链接，大家可以看看

https://openai.weixin.qq.com/webapp/h774yvzC2xlB4bIgGfX2stc4kvC85J?robotName=%E5%A4%8D%E5%88%B6%E9%93%BE%E6%8E%A5%E6%89%93%E5%BC%80%E6%8B%BC%E5%A4%9A%E5%A4%9A--%3E%3E&21F4A8B=iwQAOLd8ix1AL2z&hc_pmc=2911532469336

110

paledream

2022-10-18 19:50:52 +08:00

@jefferylong 主页是微信对话开放平台，这个看上去没问题，接入了算是正常利用吧

111

jefferylong

2022-10-18 19:57:04 +08:00 via Android

@paledream 是的,直接复制打开拼多多也可以去助力

112

zml

2022-10-18 20:35:43 +08:00

@pytth 就像楼主这个举例，跨站脚本怎么能传到高德和 163 ？不解。这算入侵？

113

zml

2022-10-18 20:38:07 +08:00

@neroxps 张小龙：我狠起来可是连*.qq.com 都封的。

114

fengmk2

2022-10-18 20:52:37 +08:00

@jefferylong 微信自己都被攻陷

115

H0u5er

2022-10-18 21:15:35 +08:00

火狐浏览器的 network.http.sendRefererHeader 参数改成 0 ，禁用 Referer ，即可正常转跳链接 2 ，但同时会导致 V 站无法正常登陆。

本隐私怪附上一些我调教过的浏览器参数

```
identity.fxaccounts.enabled = false
beacon.enabled = false
dom.battery.enabled = false
dom.event.clipboardevents.enabled = false
geo.enabled = false
media.eme.enabled = false
media.navigator.enabled = false
media.peerconnection.enabled = false // Disable WebRTC
privacy.firstparty.isolate = true
privacy.resistFingerprinting = true. // user agent changed
privacy.trackingprotection.enabled = true
webgl.disabled = true
privacy.trackingprotection.cryptomining.enabled = true
privacy.trackingprotection.fingerprinting.enabled = true
Privacy->Third Party Cookies->All third party cookies // on the browser setting
Privacy->Cookies->Block cookies and site data: All third party // on the browser setting
Privacy->Cookies->Keep until: Firefox is closed // on the browser setting
privacy.clearOnShutdown.cookies: true
network.cookie.cookieBehavior: 1
network.cookie.lifetimePolicy: 2 // on the browser setting
network.cookie.thirdparty.sessionOnly: true
network.cookie.thirdparty.nonsecureSessionOnly: true
network.trr.mode = 3
network.dns.echconfig.enabled = true
network.dns.http3_echconfig.enabled = true
network.dns.use_https_rr_as_altsvc = true
network.dns.disablePrefetch = true
network.http.sendRefererHeader = 0. // but i set as "1" since cannot visit V2EX after change
network.prefetch-next = false
network.cookie.sameSite.laxByDefault = true
network.cookie.sameSite.noneRequiresSecure = true
```