从 Telegram 揭露您的身份信息可能吗？—— 有中国朋友提起了这个问题

最近有中国朋友提到了这样一个问题：揭露 Telegram 用户身份信息是否可能？难度有多大？答案是，可能，而且不难，并不需要高明的入侵；于是，这意味着理论上任何人都可以做到 —— 假设目标人防备不足的话。

方法是，开源情报的 "主动式" 方法。

这意味着一个与被识别目标直接接触的机会。

在直接接触中识别 Telegram 用户的最简单方法是联系人交换功能。如果被识别的用户接受了追踪者的联系方式并将其添加到设备的电话簿中，目标的真实电话号码就会自动提供给追踪者。

防备❗️：不要使用您的真实手机号码注册类似 Telegram 这样的IMs ；不要随便接受好友邀请，即便对方的昵称显示为您熟悉的人，您也应该事先与此人通过其他方式进行联系，以确定 Telegram 中这位同名者是否真的是您认识的人。

在直接联系的过程中，还可以用多种其他方法进行情报调查，允许追踪者获得有关连接和设备的信息（ip地址、供应商 、位置的区域、计算机型号、操作系统的版本、浏览器等等）。

用户行为的记录（日志）长期以来一直被用于开源情报调查。记录互联网用户涉及与目标的直接互动，在此期间，目标用户将（以某种形式）访问一个外部网络资源，追踪者可以访问该资源的日志。它可以是一个专门被创建的超链接或文件，被打开后会启动收集用户数据的程式。公共领域有大量提供类似功能的服务。

最容易被采用的方法有以下几种。

1、使用超链接来获取 Telegram 用户数据

使用记录器创建一个指向外部网络资源的超链接，引诱目标用户点击，这将保存访问的历史。类似的记录器有：http://canarytokens.org/, https://grabify.link/ , https://iplogger.ru/ , http://ru.itsip.info/spy , https://iknowwhatyoudownload.com/ru/link/ 。所有对创建的链接的点击，包括记录的结果，都会自动保存在选定的记录器标签中。

为了让它看起来不那么可疑，追踪者经常会使用链接缩短服务来掩盖一下。这些服务包括：https://clck.ru/ 、http://bit.do/ 、https://bitly.com/ 、https://www.lnnkin.com/ 及其他，很多。

还有其他掩盖方法。

防备❗️：不要点击任何缩短链接，不管它们是什么。IYP绝不会使用缩短器。并且，在您点击任何超链接之前，请用鼠标悬停在其上 /或 Copy Link 看看它究竟是什么。

2、使用文件来获取 Telegram 用户数据

使用这类记录器涉及到在目标打开文件时进行记录。这类记录器包括：http://canarytokens.org/ （允许你生成各种类型的记录文件），以及 https://www.locklizard.com/track-pdf-monitoring/  和 http://www.mailtracking.com/mailtracking/pmdoctrack.asp （只生成PDF文件）。

防备❗️：建议只打开您信任的人发来的文件；再一次重复，请首先确认对方是您认识的那个人 —— 通过其他联系方式确认一下。

3、使用外部网络资源来获取 Telegram 的用户数据

使用一个被认为是合法的高排名域名，来创建内容，用于跟踪，可能是效率最高的。这可以是任何网站。尤其是，使用博客网站，如 https://telegra.ph/ 、https://medium.com/ 或 https://teletype.in/ ，在其上创建新闻，以跟踪像素的形式引入记录器。人们对这样的链接几乎毫不怀疑。

还可以有一个更缺德的方法，可以让你快速找到你要找的人的ip地址、时区和浏览器设置。那就是，使用文件托管服务（比如 http://anonymousfiles.io , http://anonfiles.com , http://filedropper.com , http://privatlab.com ），上传一个文件给目标用户下载，任何文件都可以。在下载之后，追踪者写信给服务支持部门，说该文件因误解而侵犯了版权，要求提供下载者的IP地址。支持部门会在2小时至5天内作出公平的回应，回信中会发送详细的用户日志。而且 ，不要忘记，上传到文件托管服务的文件也可以有一个内置的记录器。

防备❗️：如上述。

4、使用功能型机器人获取 Telegram 用户数据

创建一个功能型机器人是以上方法的变体。就算追踪者自己不会编程也没关系，可以简单创建一个功能聊天机器人，模仿某个流行的在线服务或进入一个封闭社区的方式。有一些现成的创建机器人的工具：https://t.me/LivegramBot , https://t.me/Manybot 或 https://t.me/FleepBot 。根据机器人所宣称的 "功能"，它可以给用户提供文本信息、超链接、或可下载文件形式的报告。还有创建自动诱饵机器人的开源构造器，比如：https://github.com/lamer112311/Dnnme2 。

防备❗️：不要随便使用机器人。不要在与机器人互动的过程中发送任何关于您的身份的信息，不论机器人 "声称" 什么理由。人们总是不难做到警惕一个活人，然而却对机器人格外坦白（包括机器人语音电话），这是严重错误的！

5、登录一对一通话，获取Telegram用户数据

Telegram 还允许你在进行私聊通话时固定对话者的IP地址。这意味着，两个人直接连接并表明他们的真实IP地址。为了确定IP地址，可以使用网络连接监控程序，如 https://www.wireshark.org/ 或类似的程序。

防备❗️：代理，使用代理，养成使用代理的习惯是最好的。

此外，当然，还有臭名昭著的点击劫持。这会涉及到专门的软件，通常不是民用的。如您所知，政府能做以上所有这些事。

最后，老读者都记得，IYP 始终不推荐 Telegram。Telegram唯一有价值的就是它的频道功能 -- 我们正在使用的功能。尤其是，不要使用它来组建敏感的群组！但不知道为什么它的中国用户如此之多。那么，请帮忙传播这个帖子提醒您的朋友关于上述 "防备" 的部分。

**

附：如何简单地知道一个缩短链接背后有什么？——

在您点击一个链接之前，您是否习惯于先把光标停放在它上面，看看它到底通向哪里？您最好已经养成了这个习惯，因为这非常重要。但一般来说，被缩短的链接不会告诉您关于它的任何信息。同时，在社交媒体上，短链接导致进入攻击者的魔掌的频率是正常链接的两倍。见上文。

🔗 Unshorten.link - 是一项将短链接解密为完整地址的服务。该工具不仅显示实际的目的地地址，而且还提供URL安全性的分析。

基于 Chromium 的浏览器可以使用一个扩展。一旦安装了它，每次您不小心或故意点击一个缩短的链接时，就会自动重定向到一个链接扩展页面。这很重要，避免手滑误操作。

🧬 https://chrome.google.com/webstore/detail/unshortenlink/gbobdaaeaihkghbokihkofcbndhmbdpd/related

🧬 更多相关知识：https://t.me/iyouport/10429

提醒注意 ——

Telegram 创始人杜罗夫最近透露该IM已开始支持第二类链接 —— 用户名将在前面。也就是这样 username.t.me 。

但正如研究所发现的，这种链接对用户的隐私构成威胁。

曾经 t.me/username 形式的链接，没有人能猜到你访问的是哪个用户名，该链接被隐藏在TLS 1.2流量中。

但现在当你登录到 username.t.me 时，用户名就会显示在 TLS Server_Name_Indication 扩展中。任何人都可以用 WireShark 验证这一点，如上图。

如果您在忘了使用VPN的情况下点击了新格式的链接，就等于将您的行动透露给了互联网服务供应商 —— 将IP地址和用户名关联起来。

发现这些风险的研究人员建议不要点击新格式的链接。⭕️