搜索

[18991] 2015-10-17_iOSAPP安全杂谈之一

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2015-10-17_iOSAPP安全杂谈之一   0 x 0 0   序 序   0 x 0 1   敏 感 信 息 泄 漏 之 不 定 时 炸 弹 敏 感 信 息 泄 漏 之 不 定 时 炸 弹 i O S   A P P 安 全 杂 谈 之 一 高 小 厨   i n n 0 t e a m   2 0 1 5 - 1 0 - 1 7 声 明 ： 本 文 首 发 于 乌 云 知 识 库 ， 经 作 者 授 权 发 布 于 本 微 信 公 众 号 声 明 ： 本 文 首 发 于 乌 云 知 识 库 ， 经 作 者 授 权 发 布 于 本 微 信 公 众 号 以 前 总 是 在 这 里 看 到 各 位 大 牛 分 享 其 安 全 渗 透 经 验 ， 而 今 我 也 很 荣 幸 的 收 到 了 乌 云 的 约 稿 ， 兴 奋 之 情 难 以 言 表 。 由 于 I O S 是 一 种 闭 源 的 操 作 系 统 ， 源 码 恐 怕 也 只 有 几 个 人 见 过 ， 其 安 全 性 究 竟 如 何 我 们 不 得 而 知 ， 突 然 想 起 一 段 话 ： 恐 惧 来 源 于 我 们 的 无 知 。 好 在 国 内 早 有 大 牛 团 队 — 盘 古 团 队 总 是 走 在 世 界 的 前 沿 给 我 们 带 来 最 新 鲜 的 I O S 安 全 详 解 ， 感 谢 沙 梓 社 和 吴 航 的 《 I O S 应 用 逆 向 工 程 》 让 我 对 I O S 逆 向 充 满 兴 趣 ， 感 谢 念 茜 的 博 客 将 我 领 入 了 I O S 安 全 之 门 。 为 了 能 让 文 章 具 有 原 创 性 ， 如 下 我 将 结 合 我 接 触 过 的 A P P 进 行 几 个 简 单 方 面 的 详 细 解 释 。 本 地 存 储 的 敏 感 数 据 ： 首 先 我 们 需 要 一 个 越 狱 手 机 ， 还 需 要 i T o o l s 工 具 来 帮 助 我 们 。 其 实 过 程 很 简 单 ， 用 i T o o l s 连 接 你 的 i P h o n e ， 通 过 共 享 文 件 打 开 某 一 A P P ， 里 边 的 结 构 一 目 了 然 。 其 中 D o c u m e n t 目 录 ： 目 录 存 储 用 户 数 据 或 其 他 应 该 定 期 备 份 的 信 息 。 A p p N a m e . a p p 目 录 ： 这 是 应 用 程 序 的 程 序 包 目 录 ， 包 括 应 用 程 序 本 身 ， 在 A p p S t o r e 上 下 载 的 A P P 是 需 要 脱 壳 的 才 能 将 程 序 用 I D A 反 编 译 的 。 L i b r a r y 目 录 ： 这 个 目 录 下 有 两 个 子 目 录 C a c h e s 和 P r e f e r e n c e ， C a c h e s 目 录 存 储 应 用 程 序 专 用 的 支 持 文 件 ， 保 存 应 用 程 序 再 次 启 动 过 程 中 需 要 的 信 息 ， 而 P r e f e r e n c e 目 录 包 含 程 序 的 偏 好 设 置 。
招 商 银 行 I O S 客 户 端 目 录 结 构 那 么 哪 些 文 件 是 可 能 透 露 敏 感 信 息 的 呢 ？ 以 p l i s t 、 d b 、 x m l 、 l o g 、 t x t 为 后 缀 的 文 件 需 要 重 点 监 控 ， 例 如 中 国 银 联 的 银 联 手 机 支 付 A P P 将 用 户 名 和 密 码 居 然 以 明 文 的 方 式 存 储 在 了 u n i o n p a y . d b 的 文 件 中 ； 苏 宁 的 某 款 理 财 A P P 同 样 的 也 是 将 手 机 号 码 和 密 码 存 储 在 了 以 p l i s t 为 后 缀 的 文 件 中 ； 当 然 也 见 过 x m l 和 l o g 文 件 中 存 有 敏 感 信 息 的 A P P 。 还 有 各 种 的 t x t 或 其 他 文 档 ， 光 大 银 行 的 某 款 A P P 里 的 1 1 1 . t x t 文 件 中 就 记 录 了 交 易 明 细 、 转 账 汇 款 、 手 机 任 意 转 等 多 种 操 作 的 U R L ， 这 给 渗 透 测 试 人 员 大 大 的 方 便 。 还 有 更 奇 葩 的 是 见 过 某 银 行 A P P 中 的 某 文 件 中 记 录 着 “ 这 个 项 目 T M D 难 做 了 ！ ” 银 联 支 付 I O S 客 户 端 用 户 名 和 密 码 明 文 存 储
光 大 银 行 I O S 客 户 端 存 在 方 便 渗 透 测 试 的 文 件 还 有 一 些 敏 感 数 据 是 需 要 一 些 脚 本 来 处 理 的 ， 例 如 C o o k i e . B i n a r y c o o k i e s 文 件 、 k e y c h a i n 文 件 等 。 例 如 浦 发 银 行 的 某 款 A P P 和 团 贷 网 的 A P P 就 是 将 自 己 的 c o o k i e 信 息 存 储 于 本 地 的 C o o k i e . b i n a r y c o o k i e s 中 的 ， 可 以 使 用 c o o k i e s - b i n a r y c o o k i e s - r e a d e r 脚 本 读 取 里 边 的 详 细 内 容 ； k e y c h a i n 文 件 中 存 储 了 i o s 系 统 及 第 三 方 应 用 的 一 些 信 息 ， k e y c h a i n 数 据 库 是 h a c k e r 们 最 关 注 的 数 据 源 头 之 一 ， 我 们 可 以 使 用 K e y c h a i n - D u m p e r 导 出 k e y c h a i n 的 值 。 团 贷 网 I O S 客 户 端 存 有 c o o k i e 信 息 这 里 同 时 再 介 绍 几 款 较 为 给 力 的 软 件 ： i k e y m o n i t o r 、 i n t r o s p y 、 i F i l e ， 其 中 i k e y m o n i t o r 软 件 是 可 以 监 控 你 的 键 盘 的 ， 如 果 银 行 使 用 了 自 定 义 键 盘 可 以 使 用 该 软 件 来 测 试 其 是 否 起 到 了 保 护 作 用 ； i n t r o s p y 可 以 追 踪 分 析 应 用 程 序 ， 念 茜 在 其 微 博 里 就 记 录 了 如 何 使 用 该 软 件 查 看 支 付 宝 A P P 采 取 了 什 么 加 密 措 施 ， 你 的 手 势 密 码 是 什 么 ， 银 行 卡 是 什 么 都 记 录 在 案 ， 甚 至 记 录 了 哪 些
  0 x 0 2   H T T P   o r   H T T P S 更 安 全 ？ 更 安 全 ？ 信 息 存 储 在 了 什 么 文 件 中 ， 亲 测 好 用 ； i F i l e 可 以 在 手 机 上 直 接 查 看 某 款 A P P 的 目 录 结 构 ， 也 可 以 直 接 打 开 d b 文 件 ， 非 常 好 用 。 网 络 上 的 敏 感 信 息 泄 露 ： 其 实 这 一 点 本 想 放 到 下 一 节 来 说 的 ， 但 是 好 多 A P P 都 有 这 个 问 题 还 是 拿 到 这 里 来 说 吧 。 这 里 不 是 拿 H T T P 说 事 ， 而 是 说 一 种 设 计 方 式 的 缺 陷 。 曾 见 过 多 款 A P P 是 这 样 设 计 的 ： 每 当 我 在 A P P 上 进 行 一 次 操 作 时 A P P 会 发 数 据 包 给 服 务 端 ， 其 中 每 次 发 数 据 包 时 为 了 校 验 身 份 都 会 把 用 户 名 和 密 码 以 明 文 的 方 式 发 出 。 这 是 一 种 什 么 样 的 概 念 呢 ， 我 在 公 共 场 所 连 接 w i f i ， 使 用 某 A P P 五 分 钟 ， 我 的 明 文 密 码 就 在 网 络 上 明 文 传 输 了 十 几 次 （ 因 为 每 次 操 作 都 要 校 验 身 份 ） 。 还 有 一 种 情 况 ， 苏 宁 某 产 品 因 为 涉 及 资 金 安 全 所 以 有 手 势 密 码 的 功 能 ， 尽 管 使 用 的 是 H T T P S 协 议 ， 但 是 只 要 我 未 注 销 我 的 账 户 再 次 打 开 A P P 时 ， A P P 跳 转 到 了 输 入 手 势 密 码 的 页 面 ， 你 的 用 户 名 和 密 码 已 经 通 过 数 据 包 发 往 了 服 务 端 ， 这 样 手 势 密 码 就 形 同 虚 设 。 详 情 见 ： W o o Y u n - 2 0 1 5 - 1 1 9 2 4 9 。 苏 宁 某 I O S 客 户 端 校 验 手 势 密 码 时 存 在 的 问 题 解 决 方 案 ： 数 据 尽 量 不 要 本 地 存 储 或 者 用 后 即 删 ， 可 能 要 考 虑 用 户 体 验 有 些 敏 感 数 据 一 定 要 存 储 于 本 地 ， 那 么 请 将 数 据 进 行 加 密 ， 数 据 库 要 添 加 访 问 限 制 。 前 几 天 银 联 忽 略 了 我 提 交 的 账 户 密 码 明 文 存 储 的 漏 洞 ， 其 实 这 是 不 应 该 的 ， 因 为 移 动 设 备 和 P C 毕 竟 不 一 样 ， 移 动 设 备 容 易 丢 失 ， 如 果 不 幸 的 话 可 能 你 的 钱 也 会 一 起 丢 失 的 。 在 给 银 行 做 安 全 审 计 的 时 候 ， 其 实 这 些 都 算 是 中 危 漏 洞 的 ， 因 为 银 行 要 保 证 资 金 在 最 糟 糕 的 情 况 下 也 是 安 全 的 。 对 于 网 络 上 敏 感 数 据 的 应 对 策 略 ， 客 户 端 和 服 务 端 最 好 用 加 密 后 的 数 据 进 行 身 份 的 校 验 ， 就 在 我 截 稿 的 前 三 天 ， 苏 宁 的 I O S 开 发 小 伙 伴 微 信 加 我 为 好 友 说 道 ： 由 于 身 份 校 验 的 接 口 较 老 ， 所 以 无 法 处 理 加 密 后 的 用 户 名 和 密 码 ， 但 是 他 们 已 经 向 上 级 申 请 提 高 身 份 校 验 接 口 的 安 全 性 了 。 可 能 很 多 人 看 了 这 个 标 题 都 想 说 一 句 ： “ 这 不 是 废 话 么 ， 如 果 H T T P 安 全 的 话 那 还 要 H T T P S 有 何 用 ？ ” 其 实 我 并 不 是 说 哪 个 协 议 更 安 全 ， 而 是 想 说 设 计 者 不 要 过 分 的 依 赖 于 某 种 技 术 而 放 松 对 其 他 问 题 的 警 惕 性 ， 下 面 我 将 分 别 拿 真 实 案 例 说 一 下 。 虽 然 使 用 了 H T T P 却 依 然 很 安 全 ： 这 里 拿 华 夏 银 行 来 说 吧 ， 他 的 A P P 使 用 了 H T T P 协 议 ， 我 使 用 F i d d l e r 成 功 的 拦 截 到 了 数 据 包 ， 但 是 我 却 发 现 无 从 下 手 。 A P P 发 出 的 数 据 和 服 务 端 发 出 的 数 据 洋 洋 洒 洒 的 很 长 最 关 键 的 是 加 盐 加 密 的 ， 我 们 不 知 道 哪 段 是 你 的 用 户 名 ， 我 们 不 知 道 哪 段 是 你 的 转 款 金 额 ， 我 们 不 知 道 钱 要 转 给 谁 。 我 随 意 更 改 一 个 字 母 ， 数 据 包 自 己 的 完 整 性 校 验 都 过 不 去 。 那 好 ， 我 转 款 时 重 放 数 据 包 ， 会 不 会 有 源 源 不 断 的 钱 转 到 我 的 钱 包 里 呢 ？ A P P 设 置 了 时 间 戳 ， 我 们 能 想 到 的 地 方 基 本 上 都 无 法 攻 破 ， 曾 经 见 过 最 坑 的 A P P ： 无 论 是 发 出 的 还 是 返 回 的 数 据 从 始 至 终 均 是 密 文 ， 除 非 逆 向 否 则 你 毫 无 思 路 。 当 然 这 的 确 暴 漏 了 一 些 问 题 的 关 键 ： 即 在 这 层 面 纱 的 掩 护 下 很 有 可 能 存 在 越 权 的 情 况 ， 如 果 逆 向 分 析 得 到 关 键 的 k e y ， 那 么 后 果 不 堪 设 想 。
华 夏 银 行 某 I O S 客 户 端 使 用 H T T P 协 议 华 住 酒 店 的 I O S 客 户 端 返 回 数 据 的 可 识 别 度 极 低 即 使 使 用 了 H T T P S 但 很 危 险 ： 终 于 可 以 讲 关 于 H T T P S 的 一 些 奇 葩 经 历 了 。 有 很 多 A P P 包 括 银 行 在 内 的 ， 尽 管 使 用 的 是 H T T P S 协 议 但 其 漏 洞 却 多 的 可 怕 ， 究 其 原 因 是 其 过 分 的 相 信 了 某 一 技 术 。 先 从 今 年 的 四 月 份 F r e e b u f 转 载 的 一 篇 文 章 说 起 ： 《 流 行 i O S 网 络 通 信 库 A F N e t w o r k i n g 曝 S S L 漏 洞 ， 影 响 银 联 、 中 国 银 行 、 交 通 银 行 在 内 的 2 . 5 万 个 i O S 应 用 》 ， 看 到 这 篇 文 章 我 首 先 做 的 是 看 看 哪 些 银 行 中 枪 了 ， 然 后 就 是 判 断 其 危 险 性 。 漏 洞 为 ： 如 果 A P P 使 用 了 A F N E T w o r k i n g 框 架 的 2 . 5 . 3 之 前 的 版 本 ， 攻 击 者 就 可 以 使 用 任 何 可 信 的 证 书 机 构 （ C A ） 发 布 的 S S L 证 书 解 密 和 加 密 数 据 ； 在 此 之 前 还 有 一 个 漏 洞 是 ： 攻 击 者 可
  0 x 0 3   中 间 人 攻 击 之 放 长 线 钓 大 鱼 中 间 人 攻 击 之 放 长 线 钓 大 鱼 以 使 用 自 签 名 的 证 书 截 听 i O S 应 用 与 服 务 器 之 间 的 加 密 的 敏 感 数 据 。 有 人 会 问 那 这 意 味 着 什 么 ？ 很 简 单 你 的 A P P 信 任 任 何 证 书 ， 如 果 你 在 星 巴 克 连 接 上 了 w i f i ， 而 又 信 任 了 不 该 信 任 的 证 书 ， 那 么 你 在 网 上 的 行 为 早 被 一 览 无 余 。 其 实 说 了 这 么 多 我 一 直 没 有 说 到 重 点 ： 好 多 使 用 了 H T T P S 协 议 的 银 行 I O S 客 户 端 其 数 据 都 是 明 文 ， 因 为 他 认 为 H T T P S 足 够 安 全 ， 所 以 在 设 计 的 时 候 根 本 就 没 想 到 如 果 数 据 包 在 中 途 被 改 了 怎 么 办 ？ 这 样 假 设 某 A P P 的 数 据 在 传 输 过 程 中 转 账 金 额 被 篡 改 了 ， 而 自 己 却 浑 然 不 知 ， 因 为 发 出 的 数 据 没 有 完 整 性 校 验 ， 本 想 转 出 1 0 块 结 果 却 转 出 了 1 0 0 块 。 （ 此 段 是 从 受 害 者 的 角 度 出 发 的 ） 上 海 某 银 行 的 理 财 客 户 端 使 用 了 A F N e t w o r k i n g 通 信 库 这 里 可 能 又 有 人 会 说 ， 没 事 我 们 的 A P P 没 有 使 用 A F N e t w o r i n g 通 信 库 ， 我 们 的 A P P 只 信 任 自 己 的 证 书 。 但 是 做 安 全 的 都 应 该 听 说 过 h o o k 技 术 ， 没 错 这 里 我 们 可 以 h o o k   I O S 相 关 的 A P I ， 以 此 来 绕 过 A P P 校 验 证 书 合 法 性 的 过 程 ， 这 样 A P P 就 可 以 信 任 任 何 证 书 ， 我 们 一 样 可 以 正 常 抓 到 包 ， 这 给 渗 透 或 者 恶 意 者 极 大 的 便 利 。 这 里 举 个 例 子 ： 某 电 商 的 理 财 产 品 ， 虽 然 其 A P P 只 信 任 自 己 的 证 书 ， 但 是 仍 然 可 以 通 过 h o o k 一 些 关 键 函 数 来 绕 过 证 书 的 校 验 过 程 ， 在 对 通 信 数 据 的 审 计 过 程 中 发 现 ， 存 在 越 权 可 泄 露 任 意 用 户 的 姓 名 、 银 行 卡 号 和 手 机 号 。 由 于 返 回 的 数 据 也 都 是 明 文 未 做 加 密 处 理 ， 我 们 甚 至 可 以 通 过 修 改 几 个 关 键 参 数 绕 过 安 全 问 题 ， 达 到 重 置 支 付 密 码 的 目 的 。 （ 此 段 是 从 恶 意 者 角 度 出 发 的 ）   这 里 我 不 放 截 图 了 因 为 厂 商 还 没 有 修 复 ， 请 参 考 苏 宁 易 付 宝 钱 包 I O S 客 户 端 存 在 账 户 越 权 可 泄 漏 任 意 用 户 姓 名 / 银 行 卡 号 / 手 机 号 等 ； 中 国 银 联 某 移 产 品 设 计 不 当 可 绕 过 密 保 问 题 重 置 任 意 用 户 密 码 ， 另 外 推 荐 深 度 好 文 。 S o ， 不 是 H T T P S 不 安 全 ， 而 是 工 程 师 过 分 的 信 任 了 某 项 技 术 的 安 全 性 而 忽 略 了 潜 在 的 危 险 ， 在 这 里 提 醒 开 发 者 参 数 校 验 要 放 到 服 务 端 来 做 ， 安 全 要 做 到 双 保 险 。 还 有 就 是 要 警 惕 一 些 开 源 的 开 发 库 ， 尽 管 这 些 开 源 开 发 库 给 我 带 来 了 诸 多 便 利 ， 但 是 他 也 是 一 颗 定 时 炸 弹 。 解 决 方 案 ： 只 使 用 H T T P 协 议 的 采 用 H T T P S ， 采 用 H T T P S 协 议 的 工 程 师 学 习 学 习 只 使 用 H T T P 协 议 的 小 伙 伴 的 安 全 方 案 ， 通 信 数 据 要 做 到 让 人 看 了 就 烦 的 地 步 。 总 之 安 全 要 做 到 双 保 险 。 如 果 有 机 会 ， 希 望 以 后 可 以 详 细 的 讲 一 下 绕 过 认 证 的 几 种 方 法 。 这 里 可 能 和 上 面 的 内 容 有 些 重 复 ， 不 过 这 的 重 点 是 如 何 钓 鱼 。 在 乌 云 上 看 到 好 多 厂 商 对 P C 端 的 中 间 人 攻 击 漏 洞 采 取 了 积 极 处 理 ， 而 移 动 端 的 却 总 是 被 忽 略 ， 在 这 里 我 想 为 移 动 端 讨 些 说 法 。 随 着 时 代 的 变 迁 w i f i 已 经 变 得 越 来 越 普 及 了 ， 当 然 如 果 你 是 土 豪 一 直 用 流 量 那 么 我 无 话 可 说 ， 但 是 毕 竟 土 豪 总 是 少 数 人 么 ， 今 年 的 3 1 5 就 现 场 演 示 了 一 把 什 么 是 黑 w i f i 。 所 谓 黑 w i f i 并 不 只 是 在 你 和 服 务 器 之 间 有 一 双 眼 在 偷 偷 的 看 着 你 在 干 什 么 ， 更 有 甚 者 他 是 想 在 你 的 移 动 设 备 上 装 些 什 么 ， 用 一 个 比 较 专 业 的 词 叫 中 间 人 攻 击 。
2 0 1 5 年 3 1 5 晚 会 关 于 w i f i 的 新 闻 曾 遇 到 过 I O S 端 的 多 款 A P P 更 新 时 返 回 更 新 链 接 ， 当 我 点 击 更 新 时 会 跳 转 到 A p p S t o r e 或 者 自 己 的 A P P 发 放 平 台 那 里 ， 如 果 这 里 没 有 对 返 回 数 据 进 行 合 法 性 校 验 的 话 很 容 易 招 到 中 间 人 攻 击 。 这 里 拿 5 8 同 城 的 I O S 客 户 端 做 一 个 例 子 ， 当 我 打 开 A P P 时 他 会 自 动 检 查 软 件 更 新 ， 如 果 存 在 新 版 本 则 立 即 返 回 更 新 提 示 ， 这 里 我 修 改 返 回 链 接 为 其 他 A P P 的 下 载 链 接 ， 那 么 下 载 的 应 用 就 是 其 他 的 A P P 。 也 可 以 修 改 为 其 他 应 用 的 U R L   S c h e m e ， 例 如 支 付 宝 的 U R L   S c h e m e （ a l i p a s s : / / ） ， 这 样 我 点 击 更 新 时 便 直 接 跳 转 到 了 支 付 宝 ， 如 果 越 狱 了 可 能 还 会 安 装 一 些 恶 意 木 马 。 其 实 处 理 这 类 问 题 很 简 单 ， 数 据 包 里 加 一 个 完 整 性 的 校 验 ， 当 客 户 端 发 现 数 据 包 被 篡 改 时 可 自 动 注 销 或 提 示 用 户 存 在 风 险 。 5 8 同 城 I O S 客 户 端 更 新 可 被 劫 持 可 能 有 人 会 说 了 ， 我 使 用 H T T P S 协 议 不 怕 你 们 的 所 谓 中 间 人 。 可 是 实 际 上 真 的 是 这 样 么 ？ 这 里 的 关 键 是 如 何 让 用 户 信 任 一 个 第 三 方 的 证 书 ， 现 在 大 多 的 公 共 免 费 w i f i 连 接 后 需 要 登 录 w e b 进 行 验 证 ， 验 证 过 程 中 需 要 输 入 手 机 号 和 验 证 码 然 后 点 击 下 一 步 。 没 错 ， 我 们 可 以 在 下 一 步 的 按 钮 上 做 文 章 ， 钓 鱼 w i f i 的 名 称 可 以 设 置 为 “ X X X 银 行 免 费 W I F I ” ， 当 用 户 连 接 后 跳 转 到 手 机 认 证 处 ， 我 们 将 下 一 步 的 按 钮 的 链 接 设 置 为 下 载 证 书 的 链 接 （ 例 如 ： h t t p : / / l o c a l h o s t : 8 8 8 8 / F i d d l e r R o o t . c e r ） ， 只 要 用 户 点 击 下 一 步 ， 证 书 就 会 自 动 下 载 ， 安 装 证 书 则 需 要 用 户 再 次 点 击 。 为 了 能 让 用 户 更 容 易 上 当 ， 完 全 可 以 在 验 证 手 机 号 码 的 页 面 上 写 到 “ 为 保 证 用 户 的 数 据 安 全 ， 使 用 我 银 行 的 免 费 w i f i 时 请 先 安 装 证 书 ， 点 击 下 一 步 即 可 安 装 ” 。 可 能 在 从 事 安 全 行 业 的 人 眼 里 我 们 是 不 会 轻 易 信 任 任 何 证 书 的 ， 但 是 使 用 w i f i 的 人 大 多 不 懂 安 全 ， 更 不 懂 得 什 么 是 证 书 ， 如 若 用 户 不 小 心 连 接 了 钓 鱼 w i f i ， 那 么 估 计 也 有 百 分 之 八 十 的 人 会 去 信 任 这 个 非 法 的 证 书 。 而 在 I O S 中 ， C A 颁 发 的 证 书 被 标 识 为 可 信 ， 而 自 签 名 的 证 书
  0 x 0 4   小 结 小 结 被 标 识 为 不 可 信 ， 可 这 在 一 个 着 急 想 蹭 免 费 w i f i 的 人 眼 里 有 什 么 区 别 么 ？ 这 是 自 签 名 的 证 书 I O S 显 示 不 可 信 解 决 方 案 ： 即 使 客 户 端 使 用 了 较 为 严 格 的 数 据 自 我 校 验 体 系 ， 即 使 客 户 端 使 用 了 H T T P S 协 议 ， 那 么 也 要 为 广 大 的 普 通 用 户 考 虑 ， 不 要 让 坏 人 成 为 中 间 人 来 对 我 们 的 手 机 做 坏 事 。 呼 吁 厂 商 不 要 忽 略 中 间 人 攻 击 的 漏 洞 。 本 来 是 想 写 到 0 x 0 0 5 的 ， 但 是 发 现 篇 幅 有 点 太 长 ， 希 望 下 次 有 机 会 继 续 写 吧 。 这 里 我 们 做 一 个 简 单 的 小 结 ： 1 、 数 据 请 勿 本 地 存 储 ， 用 后 请 删 或 添 加 访 问 限 制 ； 2 、 不 要 过 分 的 信 任 某 项 技 术 ， 安 全 要 做 到 双 保 险 ； 3 、 诱 骗 一 个 用 户 并 不 是 很 难 。
i n n 0 t e a m 只 是 一 个 正 在 成 长 的 小 的 安 全 团 队 微 信 号 ： i n n 0 t e a m 长 按 便 可 关 注 我 们 点 击 下 方 “ 阅 读 原 文 阅 读 原 文 ” 就 可 以 跟 作 者 互 动 交 流 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理