渗透百度云

百度云盘里躺着我2016年拍的渗透毕业照、三份几乎没打开过的百度简历、还有一部删不掉的渗透《武林外传》全集。那天我想下载一个老电影，百度看着进度条龟速爬行，渗透突然冒出一个念头——要是百度能直接读服务器上的文件，是渗透不是就不用受这鸟气了？

说干就干。先抓包看接口。百度百度云的渗透网页版登录后，所有请求都带着一个BDUSS的百度Cookie，这玩意儿就是渗透你的身份证。我试着用Python模拟请求，百度发现下载接口其实是渗透个重定向，服务器会返回一个带签名的百度临时链接。签名算法藏在某个混淆过的渗透JS文件里，我蹲在开发者工具里看了三个小时，终于找到那段被压缩成一行、变量名全是a、b、c的代码。

破解签名只是第一步。真正的难点在于绕过限速。百度云对非会员的下载速度限制在100KB/s左右，但服务器端明明有满带宽。我试过改请求头里的User-Agent，没用；试过换IP段，也没用——限速逻辑绑定的是账号，不是IP。后来在一个技术论坛里看到有人提到，百度云的限速是通过控制TCP窗口大小实现的，也就是说，服务器故意不填满你的接收窗口。这招够狠，几乎没法从客户端破解。

但我发现了个漏洞。百度云的离线下载功能会把种子文件拉到服务器上，然后生成一个内部链接。这个链接的下载速度不受限速策略约束，因为它走的是内部传输通道。我试着把一个只有几KB的种子文件扔进去，等它离线完成后，再用那个内部链接下载——速度直接飙到满带宽。

别高兴太早。这个漏洞存在了一年多，直到某次版本更新后被封死。我后来又试过其他路子，比如通过API创建分享链接再转存到自己另一个号上，结果发现转存后的文件依然被限速。说白了，限速标记跟着文件走，存在数据库里，你换哪个号都躲不掉。

最接近成功的一次，是我用安卓模拟器装了个老版本百度云客户端。那个版本的下载请求没走HTTPS，而是明文HTTP。我搭了个本地代理，把请求里的文件ID替换成另一个会员账号的文件ID——服务器验签不严，居然认了。那天下载速度稳定在2MB/s，我兴奋地截了图。第二天再试，接口就返回403了。

折腾了一圈，我最后用的还是最笨的办法——开了一个月会员，把需要的东西全下下来，然后关掉自动续费。那些所谓的破解方法，要么时效性太短，要么风险太高，说不定哪天账号就被封了。百度云的服务器端逻辑其实很清晰：所有文件都放在同一个存储池里，限速纯粹是策略层的事。他们想让你付费，你就得付费——技术上没有完美的破解，只有时间差里的侥幸。

现在我的百度云里还存着那些文件，但很少打开了。偶尔想起那几天熬夜抓包、改代码的日子，倒觉得比下载下来的电影有意思得多。

本文地址：http://www.79wt.cn/news/398a0999592.html