设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 数据库 › [4379] 2017-09-29_iOS应用可读取元数据造成用户隐私泄 ...
返回列表 发新帖
查看: 6|回复: 0

[4379] 2017-09-29_iOS应用可读取元数据造成用户隐私泄露

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 7 天前 | 显示全部楼层 |阅读模式
2017-09-29_iOS应用可读取元数据造成用户隐私泄露 i O S 应 用 可 读 取 元 数 据 造 成 用 户 隐 私 泄 露 原 创   E 小 编   E 安 全   2 0 1 7 - 0 9 - 2 9 E 安 全 9 月 2 9 日 讯   F a s t l a n e . T o o l s 公 司 创 始 人 兼 开 发 者 F e l i x   K r a u s e （ 菲 力 克 斯 · 克 劳 斯 ） 最 近 发 现 ， i O S 应 用 能 够 读 取 元 数 据 ， 并 据 此 知 悉 用 户 位 置 等 一 系 列 威 胁 个 人 隐 私 的 重 要 信 息 。 图 像 访 问 权 限 暴 露 用 户 数 据 图 像 访 问 权 限 暴 露 用 户 数 据 克 劳 斯 在 O p e n   R a d a r 社 区 上 发 布 了 详 细 的 帖 子 h t t p : / / t . c n / R 0 W K I e A ， 他 表 示 该 应 用 只 需 获 得 “ 图 像 ” 访 问 权 限 ， 即 可 产 生 相 关 风 险 。 克 劳 斯 写 道 ： “ 如 果 应 用 获 得 图 像 库 的 访 问 权 限 ， 其 即 可 对 所 有 图 像 的 元 数 据 进 行 全 面 访 问 ， 包 括 其 拍 摄 位 置 。 这 是 个 相 当 严 重 的 问 题 ， 因 为 第 三 方 拍 摄 应 用 同 样 能 够 全 面 访 问 所 有 照 片 及 其 在 图 像 库 中 保 存 的 位 置 信 息 。 ” 除 了 地 理 位 置 ， 一 张 图 片 还 暴 露 哪 些 数 据 ？ 除 了 地 理 位 置 ， 一 张 图 片 还 暴 露 哪 些 数 据 ？ 克 劳 斯 亦 在 G i t H u b 上 发 布 了 一 段 概 念 验 证 代 码   h t t p : / / t . c n / R 0 C p S g v ， 并 表 示 其 编 写 难 度 几 乎 可 以 忽 略 不 计 。 “ 您 的 i O S 应 用 是 否 能 够 访 问 用 户 图 片 库 ？ 您 想 知 道 用 户 在 过 去 几 年 的 活 动 轨 迹 — — 包 括 他 们 去 过 哪 些 城 市 、 曾 经 使 用 过 的 i P h o n e 以 及 出 行 方 式 — — 吗 ？ 您 希 望 在 不 到 一 秒 时 间 里 马 上 获 得 答 案 吗 ？ 这 个 项 目 让 您 美 梦 成 真 ！ ” 通 过 访 问 图 片 库 信 息 ， 应 用 程 序 将 能 够 获 取 完 整 的 E X I F 数 据 集 — — 且 其 中 囊 括 的 远 不 止 用 户 位 置 这 么 简 单 。
克 劳 斯 已 经 证 明 可 通 过 此 种 途 径 获 取 下 列 数 据 ： 各 图 片 之 确 切 位 置 ; 拍 摄 图 像 / 视 频 的 物 理 速 度 （ 相 机 移 动 速 度 ） ; 相 机 型 号 ; 确 切 时 期 与 时 间 ; 其 它 E X I F 图 像 元 数 据 。 攻 击 者 完 全 可 以 利 用 此 类 数 据 开 展 监 控 或 者 欺 诈 活 动 。 克 劳 斯 建 议 苹 果 公 司 对 其 图 片 库 权 限 管 理 方 式 进 行 审 查 ， 例 如 提 示 用 户 以 明 确 方 式 批 准 应 用 访 问 图 片 元 数 据 的 权 限 。 另 一 种 可 行 方 式 ， 则 是 将 选 择 照 片 与 在 图 片 库 内 访 问 图 片 的 权 限 彼 此 区 分 开 来 。 怎 样 访 问 图 像 数 据 ？ 怎 样 访 问 图 像 数 据 ？ 克 劳 斯 解 释 称 ， 通 过 以 下 方 式 即 可 轻 松 访 问 图 像 元 数 据 ： 1 . 要 求 用 户 批 准 应 用 访 问 照 片 库 ； 2 .   若 获 得 批 准 ， 则 利 用 以 下 命 令 获 取 全 部 以 往 位 置 信 息 ；
` ` ` o b j e c t i v e - c P H F e t c h R e s u l t   * p h o t o s   =   [ P H A s s e t   f e t c h A s s e t s W i t h M e d i a T y p e : P H A s s e t M e d i a T y p e I m a g e   o p t i o n s : n i l ] ; f o r   ( P H A s s e t   * a s s e t   i n   p h o t o s )   {   i f   ( [ a s s e t   l o c a t i o n ] )   {   / /   A c c e s s   t h e   f u l l   l o c a t i o n ,   s p e e d ,   f u l l   p i c t u r e ,   c a m e r a   m o d e l ,   e t c .   h e r e   } } ` ` ` 3 .   使 用 该 数 据 追 踪 用 户 行 动 轨 迹 。 感 兴 趣 的 朋 友 可 以   h t t p : / / t . c n / R 0 W o F F 2   通 过 苹 果 A p p   S t o r e 获 取 D e t e c t L o c a t i o n s 概 念 验 证 应 用 。 祝 各 位 玩 得 开 心 ！ 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 9 9 0 5 7 2 8 7 6 . s h t m l 相 关 阅 读 ： i O S 内 核 漏 洞 利 用 P o C — — z I V A 漏 洞 收 购 平 台 Z e r o d i u m 出 价 1 5 0 万 美 元 收 购 i O S   1 0 “ 零 日 漏 洞 ” 政 府 机 构 利 用 i O S 零 日 漏 洞 实 施 P e g a s u s 间 谍 活 动     i O S 9 . 3 . 5 必 须 更 新 盘 古 团 队 发 布 i O S   9 . 2 - 9 . 3 . 3 完 美 越 狱 工 具 （ V i d e o ） [ 视 频 ] 苹 果 未 修 复 漏 洞   可 绕 过 i O S   8 与 9 的 密 码 锁 屏 i O S   9 现 漏 洞   黑 客 可 远 程 安 装 任 意 软 件 【 今 日 关 注 】 i O S 多 款 A p p 遭 后 门 程 序 感 染   苹 果 用 户 应 该 怎 么 办 ？
▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:36 , Processed in 0.363332 second(s), 30 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表