搜索

[2298] 2015-09-21_【大揭秘】掀开Xcode事件背后十大疑点

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-16
2015-09-21_【大揭秘】掀开Xcode事件背后十大疑点 X c o d e G h o s t 事 件 的 来 龙 去 脉 哪 些 A P P 有 问 题 ， 可 能 有 什 么 影 响 ？ 这 意 味 着 什 么 ？ 苹 果 不 再 安 全 了 吗 ？ i P h o n e / i P a d 需 要 安 全 软 件 吗 ？ 【 大 揭 秘 】 掀 开 X c o d e 事 件 背 后 十 大 疑 点 E 安 全   2 0 1 5 - 0 9 - 2 1 【 新 朋 友 【 新 朋 友 】 点 击 标 题 下 面 蓝 字 「 E 安 全 安 全 」 关 注 【 老 朋 友 老 朋 友 】 点 击 右 上 角 ， 分 享 或 收 藏 本 页 精 彩 内 容 【 公 众 号 公 众 号 】 搜 索 公 众 号 ： E 安 全 安 全 ， 或 者 I D : E A Q a p p 1 源 于 9 月 1 8 日 乌 云 网 公 布 的 一 则 分 析 报 告 ： X C o d e 编 译 器 里 有 鬼 — — X C o d e G h o s t 样 本 分 析 。 这 份 纯 粹 的 技 术 分 析 报 告 引 爆 中 国 i O S 生 态 链 的 众 多 开 发 者 。 有 些 程 序 员 使 用 了 第 三 方 X c o d e 编 译 器 ， 这 些 编 译 器 编 写 的 A P P 存 在 安 全 问 题 ， 当 它 们 上 传 到 当 它 们 上 传 到 A p p S t o r e 之 后 ， 被 用 户 下 载 之 后 ， 被 用 户 下 载 安 装 ， 它 们 会 偷 偷 上 传 软 件 包 名 、 应 用 名 、 系 统 版 本 、 语 言 、 国 家 等 基 本 信 息 。 安 装 ， 它 们 会 偷 偷 上 传 软 件 包 名 、 应 用 名 、 系 统 版 本 、 语 言 、 国 家 等 基 本 信 息 。 从 病 毒 样 本 的 分 析 看 ， 这 些 泄 露 信 息 其 实 并 不 涉 及 太 多 的 隐 私 问 题 。 值 得 注 意 的 是 ， 病 毒 拥 有 更 多 的 权 限 ， 它 们 在 i P h o n e / i P a d 上 弹 出 钓 鱼 网 站 页 面 ， 可 能 骗 取 i C l o u d 帐 号 密 码 ， 或 者 其 他 关 键 信 息 。 2 据 分 析 ， 受 X C o d e G h o s t 事 件 影 响 的 A P P 可 能 有 3 0 多 款 ， 包 括 微 信 、 网 易 云 音 乐 、 网 易 公 开 课 、 我 叫 包 括 微 信 、 网 易 云 音 乐 、 网 易 公 开 课 、 我 叫 M T 、 同 花 顺 、 南 京 、 同 花 顺 、 南 京 银 行 、 南 方 航 空 、 中 信 银 行 行 动 卡 空 间 、 名 片 全 能 王 、 愤 怒 的 小 鸟 银 行 、 南 方 航 空 、 中 信 银 行 行 动 卡 空 间 、 名 片 全 能 王 、 愤 怒 的 小 鸟 2 等 等 比 较 熟 知 的 应 用 。 等 等 比 较 熟 知 的 应 用 。 安 装 这 些 应 用 的 i P h o n e / i P a d 用 户 可 能 泄 露 基 本 的 信 息 。 如 果 在 近 一 段 时 间 （ 1 - 2 个 月 内 ） ， 普 通 用 户 在 这 些 受 影 响 的 应 用 中 输 入 过 敏 感 信 息 ， 如 i c l o u d 密 码 、 信 用 卡 信 息 等 ， 这 些 信 息 理 论 上 也 可 能 被 泄 露 。 基 于 安 全 的 考 虑 ， 最 好 对 涉 及 到 的 密 码 、 支 付 方 式 等 进 行 修 改 。 3 以 往 人 们 普 遍 认 为 ， 只 要 不 越 狱 ， 只 从 官 方 应 用 市 场 下 载 软 件 ， i P h o n e / i P a d 就 是 安 全 的 。 现 在 ， 这 个 神 话 破 灭 了 。 开 发 工 具 中 做 手 脚   ， 可 能 骗 过 那 些 聪 明 的 程 序 员 ， 在 编 译 自 己 的 应 用 时 ， 把 有 害 代 码 加 进 去 ， 威 胁 用 户 数 据 安 全 。 甚 至 这 种 攻 击 方 式 绕 过 了 A p p S t o r e 的 安 全 审 核 机 制 ， 使 得 官 方 商 店 的 防 护 也 不 如 以 往 那 样 可 信 。 4 总 的 来 说 ， i P h o n e / i P a d 不 越 狱 的 风 险 仍 然 可 控 ， 尽 管 这 次 苹 果 的 安 全 审 查 未 能 检 测 到 威 胁 。 用 户 仍 然 只 能 从 官 方 市 场 下 载 应
普 通 用 户 如 何 防 范 ？ 疑 似 作 者 道 歉 了 ， 公 开 了 源 码 ， 他 说 的 是 真 的 吗 ？ 有 人 说 需 要 i C l o u d 需 要 改 密 码 ， 信 用 卡 需 要 注 销 ， 1 2 3 0 6 也 要 改 密 码 。 针 对 X C o d e 程 序 员 的 安 全 建 议 是 什 么 ？ 此 次 事 件 对 苹 果 的 安 全 策 略 会 造 成 什 么 影 响 ？ 用 ， 比 安 卓 上 混 乱 的 应 用 市 场 还 是 要 好 一 些 。 另 外 ， 需 要 提 醒 苹 果 用 户 注 意 的 是 ， 并 不 是 手 机 不 中 毒 就 安 全 ， 目 前 大 量 安 全 事 件 其 实 并 非 手 机 端 的 病 毒 制 造 的 ， 需 要 提 醒 苹 果 用 户 注 意 的 是 ， 并 不 是 手 机 不 中 毒 就 安 全 ， 目 前 大 量 安 全 事 件 其 实 并 非 手 机 端 的 病 毒 制 造 的 ， 信 息 泄 露 、 网 络 钓 鱼 、 电 信 诈 骗 等 几 乎 无 处 不 在 ， 提 高 安 全 意 识 才 是 防 范 风 险 最 有 用 的 手 段 。 信 息 泄 露 、 网 络 钓 鱼 、 电 信 诈 骗 等 几 乎 无 处 不 在 ， 提 高 安 全 意 识 才 是 防 范 风 险 最 有 用 的 手 段 。 而 这 些 ， 显 然 不 能 仅 仅 依 靠 手 机 端 的 安 全 软 件 来 解 决 。 5 再 次 建 议 i P h o n e / i P a d 用 户 不 要 越 狱 ， 只 从 官 方 市 场 下 载 软 件 。 当 有 人 试 图 套 取 你 的 i C l o u d 帐 户 密 码 或 者 其 他 重 要 帐 户 密 码 、 手 机 验 证 码 时 ， 必 须 谨 慎 对 待 。 为 确 保 安 全 ， 用 户 也 可 以 选 择 暂 时 卸 载 那 些 受 影 响 软 件 。 保 险 起 见 ， 修 改 保 险 起 见 ， 修 改 i C l o u d 帐 户 密 码 。 再 次 强 烈 建 议 开 通 帐 户 密 码 。 再 次 强 烈 建 议 开 通 i C l o u d 双 双 重 验 证 ， 方 法 可 参 考 百 度 经 验 的 技 术 文 章 重 验 证 ， 方 法 可 参 考 百 度 经 验 的 技 术 文 章 ： h t t p : / / j i n g y a n . b a i d u . c o m / a r t i c l e / e b 9 f 7 b 6 d a 3 5 4 d 2 8 6 9 3 6 4 e 8 f 1 . h t m l 6 # X c o d e G h o s t # 始 作 俑 者 @ X c o d e G h o s t - A u t h o r 向 公 众 致 歉 ， 称 这 是 一 个 “ 实 验 ” 、 “ 并 未 制 造 威 胁 性 行 为 ” ， 并 上 传 源 码 供 研 究 人 员 分 析 ， 业 内 人 士 从 源 码 判 断 “ 可 信 度 较 高 ” 。 7 目 前 ， 该 事 件 并 未 上 升 到 草 木 皆 兵 的 地 步 ， i C l o u d 帐 户 及 其 他 重 要 帐 号 ， 建 议 网 友 开 通 双 重 验 证 （ 即 除 了 用 户 名 密 码 验 建 议 网 友 开 通 双 重 验 证 （ 即 除 了 用 户 名 密 码 验 证 ， 再 开 通 其 他 方 式 比 如 手 机 验 证 码 验 证 动 态 密 码 ） 。 证 ， 再 开 通 其 他 方 式 比 如 手 机 验 证 码 验 证 动 态 密 码 ） 。 安 全 专 家 总 在 反 复 强 调 不 要 重 复 使 用 密 码 ， 不 要 使 用 过 于 简 单 的 密 码 ， 这 些 都 是 非 常 重 要 的 建 议 。 当 安 全 事 件 到 来 时 ， 有 所 准 备 的 网 友 受 到 伤 害 的 可 能 性 最 低 。 8 程 序 员 使 用 X c o d e 非 官 方 版 本 ， 可 能 有 两 个 原 因 ： 官 方 渠 道 下 载 缓 慢 ， 或 者 开 发 者 使 用 了 黑 苹 果 （ 盗 版 苹 果 系 统 ） 开 发 。 这 件 事 给 程 序 员 敲 响 警 钟 ， 要 安 全 ， 首 先 得 保 证 自 己 的 开 发 工 具 安 全 。 程 序 员 被 黑 客 暗 算 的 事 儿 曾 经 多 次 发 生 ， 无 论 如 何 ， 建 议 使 用 正 版 、 未 被 非 法 篡 改 过 的 开 发 工 具 编 写 程 序 ， 避 免 你 的 用 户 成 为 受 害 者 。 其 次 ， 编 译 环 境 、 发 布 环 境 的 安 全 值 得 注 意 ， 编 译 服 务 器 和 自 动 发 布 服 务 器 ， 应 保 持 干 净 的 环 境 ， 不 要 随 意 安 装 来 源 不 明 的 可 疑 软 件 。 9 显 然 ， 苹 果 会 修 补 这 次 安 全 事 件 造 成 的 影 响 ， 安 全 审 查 会 变 得 更 严 格 。 但 苹 果 不 会 为 某 些 软 件 （ 比 如 安 全 软 件 ） 提 供 更 多 权 限 。 1 0
为 什 么 苹 果 没 能 阻 止 这 次 攻 击 ？ 安 全 是 动 态 的 过 程 ， 今 天 认 为 安 全 的 保 护 措 施 ， 可 能 在 未 来 某 个 时 刻 被 新 的 攻 击 方 法 突 破 ， 或 者 总 有 漏 洞 被 黑 客 发 现 。 一 个 完 全 不 会 被 攻 克 的 系 统 ， 只 能 是 神 话 。 关 于 E 安 全 E 安 全 是 国 内 第 一 款 面 向 信 息 安 全 行 业 的 免 费 内 容 分 享 平 台 ， E 安 全 秉 承 “ 掌 握 信 息 安 全 的 专 家 ” 的 分 享 精 神 ， 长 期 提 供 的 免 费 专 业 的 信 息 安 全 课 程 教 学 、 业 内 资 料 、 威 胁 预 警 以 及 最 新 资 讯 ， 为 信 息 安 全 专 业 人 才 的 成 长 提 供 一 个 更 为 便 捷 和 高 效 的 一 站 式 服 务 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理