WhatsApp Web Hacking

WhatsApp 出咗 Web 版，對於一啲唔鐘意用手機打字嘅人係一件大好嘅消息。流程大概就係响 https://web.whatsapp.com 度有個 QR Code 俾手機嘅 WhatsApp Scan, 之後手機同網頁就會接通。好奇之下做咗幾個實驗，發現幾件有趣嘅事。

首先係個 QR Code, 應該係每過一分鐘就會 Refresh 一次，再唔郁嘅話就叫你人手去 Reload. 因為係跟手機嘅關係，所以可以隨時响手機 Log-off 你用緊嘅電腦。



手機一定要 Online, 手機唔 Online 嘅話，Sync 唔到個 History, 亦都 Send 唔到 Message. 即係話部手機基本上做咗一個 Web Server.


不過，網頁同手機唔係直接連線，中間係經 WhatsApp 嘅 Server 做中間人。因為要做到 Real Time Communication 嘅關係，要用到 HTML5 嘅 WebSocket. 另外，响網頁片嘅 History 內容，係會儲响個 WhatsApp 嘅 Server 度，暫時唔知幾時先會 Delete.


反而 Profile Picture 係另一回事，將個 Profile Picture 嘅 URL 擺入去第二個 Browser 度睇，係開唔返幅圖。以為改個 Referrer Header 就得，但失敗咗，似乎要跟返 Cookie 入面嘅 Security Token 先得。

跟住响機緣巧合吓撞到個 Bug, 發現佢係會 Upload 個 Crash Log 返 Server 去做 Diagnostics.


之後又發現，當 Reload 個 Page 嘅時候，個網頁可以唔經 Server 而 Load 到一啲相嘅 Thumbnail, 好大機會係用咗 Offline Storage.


個網頁版用嘅 Resource 唔多，不過可能係 Chrome 本身嘅功勞，因為俾著 IE 或者 Firefox 嘅話，個 Facebook 係可以用上成 GB 幾做嘢。基於 WhatsApp 本身都人係掃 Message, 應該都會出現同樣情況。


由於 Firefox 其實都支援 WebSocket 同 Offline Storage, 所以試吓改咗個 User Agent String, 睇吓用唔用到。不過，結果係失敗，似乎網頁版內置咗一啲 Capability Test, 令佢知道用緊嘅 Browser 唔係 Chrome.

大概知佢點寫出嚟，功能上合格，保安有待觀察。