搜索

[9081] 2015-06-30_美图秀秀、gReader、福昕PDF阅读器在列：14款Android应用易遭中间人攻击

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-17
2015-06-30_美图秀秀、gReader、福昕PDF阅读器在列：14款Android应用易遭中间人攻击 美 图 秀 秀 、 g R e a d e r 、 福 昕 P D F 阅 读 器 在 列 ： 1 4 款 A n d r o i d 应 用 易 遭 中 间 人 攻 击 F r e e B u f   2 0 1 5 - 0 6 - 3 0 ​ 微 信 号 ： 微 信 号 ： f r e e b u f A p p B u g s 公 司 研 究 人 员 经 过 分 析 发 现 ， 市 面 上 有 公 司 研 究 人 员 经 过 分 析 发 现 ， 市 面 上 有 1 4 款 总 计 下 载 量 高 达 款 总 计 下 载 量 高 达 8 千 万 次 的 流 行 应 用 千 万 次 的 流 行 应 用 A P P 在 处 理 社 交 账 号 登 陆 时 在 处 理 社 交 账 号 登 陆 时 存 在 安 全 风 险 ， 极 易 遭 到 中 间 人 劫 持 （ 存 在 安 全 风 险 ， 极 易 遭 到 中 间 人 劫 持 （ M I T M ） 攻 击 。 ） 攻 击 。 问 题 应 用 清 单 问 题 应 用 清 单 M e i t u P i c   美 图 秀 秀 ： 暴 露 用 户 的 F a c e b o o k 、 百 度 、 人 人 账 号 的 密 码 ， 它 的 下 载 量 约 为 1 千 万 至 5 千 万 。 A s t r o   F i l e   M a n a g e r   w i t h   C l o u d   文 件 管 理 器 ： 暴 露 微 软 账 号 的 密 码 。 根 据 G o o g l e   P l a y 上 的 资 料 ， A s t r o 管 理 器 的 下 载 量 约 为 5 千 万 至 1 亿 。 g R e a d e r 新 闻 客 户 端 ： 暴 露 用 户 的 F a c e b o o k 、 G o o g l e 、 T w i t t e r 、 微 软 、 和 E v e r n o t e 账 号 ， 它 的 下 载 量 达 到 1 百 万 至 5 百 万 。 F o x I t   M o b i l e P D F   （ 福 昕 P D F 阅 读 器 ） W i n d o w s   L i v e   H o t m a i l   P u s h   M a i l J u s t U n F o l l o w B r o t h e r   i P r i n t   &   S c a n S o f t w a r e   D a t a   C a b l e F r i e n d C a s t e r   C h a t P r i n t H a n d   M o b i l e   P r i n t P h o n e   f o r   G o o g l e   V o i c e   &   G T a l k I n s t a c h a t I n s t a M e s s a g e I n s t a G 证 书 未 校 验 证 书 未 校 验
这 些 问 题 都 是 出 在 应 用 处 理 S S L 证 书 的 方 式 。 正 常 情 况 下 ， W e b 服 务 器 会 用 S S L 证 书 让 用 户 浏 览 器 验 证 自 己 的 身 份 ， 而 上 述 应 用 存 在 的 安 全 隐 患 使 得 攻 击 者 可 以 通 过 使 用 伪 造 的 S S L 证 书 窃 取 用 户 的 登 录 信 息 。 A p p B u g s 研 究 人 员 称 ， 他 在 一 至 四 个 月 前 逐 一 联 系 了 这 些 应 用 开 发 者 们 ， 但 是 几 乎 没 有 受 到 过 回 应 。 A p p B u g s 公 司 安 全 研 究 人 员 公 司 安 全 研 究 人 员 w a n g 说 ： 说 ： “ 到 现 在 为 止 ， 只 有 一 位 开 发 者 ( F o x i t   M o b i l e P D F ) 修 复 了 这 一 问 题 。 开 发 者 们 不 采 取 行 动 保 护 用 户 账 户 ， 这 很 令 人 担 心 。 ” 应 用 使 用 不 安 全 的 方 式 传 输 用 户 的 登 录 信 息 非 常 普 遍 。 A n d r o i d   A P I   1 1   ( H o n e y c o m b ) 之 前 的 版 本 中 ， W e b V i e w s （ 用 于 在 应 用 内 加 载 网 页 的 组 件 ） 不 会 验 证 使 用 S S L 证 书 的 加 密 连 接 ， 这 就 会 让 用 户 在 不 知 情 的 情 况 下 遭 到 中 间 人 攻 击 。 而 在 之 后 的 A n d r o i d 版 本 中 ， 开 发 者 们 可 以 在 使 用 W e b V i e w s 时 使 用 自 己 的 客 户 端 证 书 验 证 手 段 ， 从 而 问 题 得 以 解 决 。 当 然 ， 开 发 者 先 得 知 道 客 户 端 证 书 验 证 过 程 是 怎 么 进 行 的 。 安 全 建 议 安 全 建 议 要 应 对 这 样 的 问 题 ， 用 户 应 该 在 接 入 那 些 公 共 W i f i 网 络 时 不 要 使 用 这 些 应 用 中 的 登 陆 功 能 。 * 参 考 来 源 ： V e n t u r e B e a t ， 译 / S p h i n x ， 文 章 有 修 改 ， 转 载 请 注 明 来 自 F r e e b u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理