搜索

[11900] 2017-10-16_iOS隐私安全之通过popup向用户索取AppleID和密码

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2017-10-16_iOS隐私安全之通过popup向用户索取AppleID和密码 i O S 隐 私 安 全 之 通 过 p o p u p 向 用 户 索 取 A p p l e   I D 和 密 码 a n g 0 1 0 e l a   F r e e B u f   2 0 1 7 - 1 0 - 1 6 你 想 知 道 用 户 的 你 想 知 道 用 户 的 A p p l e   I D 和 和 p a s s w o r d 吗 ？ 想 访 问 用 户 的 吗 ？ 想 访 问 用 户 的 A p p l e 帐 号 吗 ？ 或 者 在 其 他 的 帐 号 吗 ？ 或 者 在 其 他 的 w e b 服 务 上 使 用 服 务 上 使 用 A p p l e   I D 对 应 邮 箱 和 密 码 ？ 你 只 需 要 礼 貌 地 问 他 们 ， 他 们 可 能 就 会 告 诉 你 哦 。 对 应 邮 箱 和 密 码 ？ 你 只 需 要 礼 貌 地 问 他 们 ， 他 们 可 能 就 会 告 诉 你 哦 。 攻 击 原 理 攻 击 原 理 i O S 会 在 很 多 情 况 下 要 求 用 户 输 入 i T u n e s 密 码 ， 最 常 见 的 情 况 有 安 装 i O S 系 统 更 新 和 a p p 在 安 装 时 卡 住 了 。 因 此 ， 用 户 已 经 习 惯 了 当 系 统 提 示 输 入 A p p l e   I D 和 密 码 时 ， 输 入 I D 和 密 码 。 但 是 ， 这 些 提 示 不 仅 出 现 在 锁 屏 、 主 页 ， 也 可 能 会 出 现 在 一 个 随 机 的 a p p 中 ， 比 如 a p p 想 要 访 问 i C l o u d , 游 戏 中 心 或 者 应 用 内 购 买 的 情 况 。 因 此 ， 这 种 提 示 可 以 被 任 意 的 一 个 a p p 滥 用 ， 通 过 U I A l e r t C o n t r o l l e r 就 可 以 很 简 单 的 实 现 ， 效 果 看 起 来 和 系 统 对 话 框 一 模 一 样 。 即 使 了 解 一 点 钓 鱼 攻 击 的 用 户 也 很 难 在 很 短 时 间 内 发 现 这 些 警 告 （ 提 示 ） 是 钓 鱼 攻 击 。 如 何 保 护 如 何 保 护 如 果 出 现 这 种 情 况 ， 可 以 按 h o m e 键 ， 看 a p p 有 没 有 退 出 ： 如 果 a p p 和 输 入 a p p l e   I D 密 码 的 对 话 框 都 关 闭 了 ， 证 明 这 是 钓 鱼 攻 击 ； 如 果 a p p 和 对 话 框 都 可 见 ， 说 明 这 是 系 统 对 话 框 ； 因 为 系 统 对 话 是 不 同 的 进 程 ， 不 是 i O S   a p p 的 一 部 分 。 不 要 在 弹 出 窗 口 中 输 入 I D 和 密 码 ， 手 动 打 开 系 统 设 定 进 行 输 入 。 这 就 跟 不 点 击 邮 件 中 的 链 接 ， 改 为 在 浏 览 器 中 手 动 输 入 是 一 个 道 理 。 如 果 点 击 了 c a n c e l （ 取 消 ） 按 钮 ， a p p 仍 然 会 记 录 你 在 p a s s w o r d 域 输 入 的 内 容 ， 所 以 关 闭 弹 出 对 话 框 时 ， 先 清 空 弹 出 框 中 输 入 的 内 容 。 我 们 之 前 想 的 是 ， 伪 造 的 警 告 信 息 需 要 a p p 的 开 发 者 知 道 I D 的 邮 箱 地 址 ， 事 实 上 这 种 弹 出 框 的 邮 箱 地 址 和 密 码 都 需 要 用 户 输 入 。 所 以 ， 这 种 钓 鱼 a p p 向 用 户 问 密 码 就 变 得 更 加 简 单 了 。 建 议 建 议 因 此 ， 这 种 提 示 可 以 被 任 意 的 一 个 a p p 滥 用 ， 通 过 U I A l e r t C o n t r o l l e r 就 可 以 很 简 单 的 实 现 ， 效 果 看 起 来 和 系 统 对 话 框 一 模 一 样 。 即 使 了 解 一 点 钓 鱼 攻 击 的 用 户 也 很 难 在 很 短 时 间 内 发 现 这 些 警 告 （ 提 示 ） 是 钓 鱼 攻 击 。 现 在 的 w e b 浏 览 器 在 防 钓 鱼 攻 击 方 面 做 得 很 好 ， 但 是 手 机 a p p 里 的 钓 鱼 攻 击 是 一 个 相 对 比 较 新 的 概 念 。 当 系 统 要 求 用 户 输 入 A p p l e   I D 和 密 码 时 ， 让 用 户 在 打 开 系 统 设 置 后 输 入 ； 修 复 该 问 题 的 根 本 在 于 ， 系 统 不 应 该 经 常 要 求 用 户 输 入 I D 和 密 码 ； 应 用 中 的 对 话 框 应 该 在 顶 端 显 示 a p p 的 标 志 ， 来 跟 系 统 对 话 框 区 分 开 ； 有 时 候 i O S 会 在 锁 屏 时 弹 出 这 样 的 通 知 （ 如 下 图 ） ， 点 击 后 会 打 开 i C l o u d 设 置 ， 这 种 方 式 比 向 用 户 直 接 问 密 码 更 好 。 复 杂 性 复 杂 性
因 此 ， 这 种 提 示 可 以 被 任 意 的 一 个 a p p 滥 用 ， 通 过 U I A l e r t C o n t r o l l e r 就 可 以 很 简 单 的 实 现 ， 效 果 看 起 来 和 系 统 对 话 框 一 模 一 样 。 即 使 了 解 一 点 钓 鱼 攻 击 的 用 户 也 很 难 在 很 短 时 间 内 发 现 这 些 警 告 （ 提 示 ） 是 钓 鱼 攻 击 。 制 作 这 样 的 弹 出 框 非 常 容 易 ， A p p l e   d o c s 中 就 有 例 子 ， 实 际 的 钓 鱼 弹 出 框 代 码 不 超 过 3 0 行 。 Q & A 双 因 子 认 证 安 全 吗 ？ 双 因 子 认 证 安 全 吗 ？ 答 案 是 否 定 的 ， 虽 然 有 些 人 使 用 了 双 因 子 认 证 ， 但 是 仍 然 有 很 多 用 户 在 大 多 数 w e b 服 务 中 使 用 相 同 的 用 户 名 和 密 码 。 即 使 你 的 账 户 是 双 因 子 认 证 的 ， 那 么 a p p 也 可 以 问 你 第 二 部 的 c o d e 呀 ！ A p p l e   s t o r e 会 接 受 这 样 的 会 接 受 这 样 的 a p p 吗 ？ 吗 ？ 答 案 是 肯 定 的 。 虽 然 A p p   S t o r e 有 很 多 的 安 全 机 制 ， 但 是 有 很 多 的 办 法 可 以 绕 过 ， 比 如 ： 使 用 远 程 代 码 ， J S 桥 等 ； 用   i T u n e s   s e a r c h   A P I   来 比 较 现 在 的 版 本 号 和 A p p   S t o r e 中 的 版 本 号 ， 这 样 的 话 a p p 可 以 在 得 到 同 意 后 ， 自 动 执 行 恶 意 代 码 ； 用 远 程 配 置 工 具 来 配 置 一 个 只 有 A p p l e 通 过 后 才 执 行 的 特 征 ； 使 用 基 于 时 间 的 触 发 器 ， 只 有 当 a p p 通 过 审 核 或 拒 绝 后 才 执 行 ； 手 机 钓 鱼 攻 击 手 机 钓 鱼 攻 击 手 机 钓 鱼 攻 击 会 变 得 越 来 越 常 见 。 因 为 i O S 没 有 明 确 区 分 系 统 U I 和 应 用 的 U I 元 素 才 引 起 这 种 钓 鱼 攻 击 。 很 多 网 站 也 会 有 m a c O S 和 i O S 一 样 的 弹 出 框 ， 所 以 许 多 用 户 会 以 为 这 是 一 个 系 统 弹 框 。 参 考 链 接 ： h t t p s : / / g i t h u b . c o m / K r a u s e F x / s t e a l . p a s s w o r d * 本 文 作 者 ： 本 文 作 者 ： a n g 0 1 0 e l a ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理